Certyfikat SSL: co trzeba wiedzieć przed uruchomieniem strony

2026-07-30 Redakcja poradnika 2 min czytania

Kłódka w pasku adresu stała się standardem. Przeglądarki oznaczają strony bez szyfrowania jako „niezabezpieczone”, a wyszukiwarki obniżają ich pozycję. Dobra wiadomość: certyfikat nie musi nic kosztować.

Co daje certyfikat

Certyfikat SSL (dziś poprawnie: TLS) robi dwie rzeczy. Po pierwsze, szyfruje połączenie między przeglądarką a serwerem, więc nikt po drodze nie podejrzy formularza czy hasła. Po drugie, potwierdza, że strona pod danym adresem należy do tego, kto kontroluje domenę. Bez certyfikatu adres zaczyna się od „http://”, z certyfikatem od „https://”.

Darmowy czy płatny

Dla zdecydowanej większości stron wystarczy darmowy certyfikat wystawiany automatycznie, na przykład przez Let's Encrypt. Jest tak samo bezpieczny jak płatny, bo szyfrowanie nie zależy od ceny. Różnica polega na okresie ważności (darmowe odnawiają się co kilka tygodni, automatycznie) i na zakresie weryfikacji.

Certyfikaty płatne z rozszerzoną weryfikacją (OV, EV) potwierdzają dodatkowo dane firmy. Przydają się bankom i dużym sklepom, ale przeglądarki nie wyróżniają ich już w żaden widoczny sposób.

Kreator stron załatwia to za ciebie

W kreatorach stron certyfikat jest zwykle włączany jednym przełącznikiem w ustawieniach domeny i odnawia się sam. Na własnym hostingu sprawdź, czy panel ma opcję „Let's Encrypt” lub „automatyczny SSL”. Jeśli nie ma, to argument za zmianą hostingu.

Po włączeniu certyfikatu

Przekierowanie z http na https. Stara wersja adresu powinna automatycznie prowadzić do nowej, inaczej będą istnieć dwie kopie strony.
Treści mieszane. Jeśli strona ładuje obrazek lub skrypt po „http://”, przeglądarka pokaże ostrzeżenie mimo certyfikatu. Zamień adresy w treści na względne lub na „https://”.
Odnowienie. Wygaśnięty certyfikat wygląda gorzej niż jego brak: przeglądarka wyświetla pełnoekranowe ostrzeżenie. Włącz odnawianie automatyczne i powiadomienie e-mail na wszelki wypadek.
Subdomeny. Certyfikat na „firma.pl” nie obejmuje „sklep.firma.pl”. Potrzebny jest osobny lub tzw. wildcard.

Jak sprawdzić, czy wszystko działa

Otwórz stronę w trybie prywatnym przeglądarki i kliknij kłódkę. Powinna pokazać nazwę domeny i datę ważności. Następnie wpisz adres z „http://” i upewnij się, że przeglądarka sama przełącza na „https://”. Na koniec przejrzyj kilka podstron: ostrzeżenie o treściach mieszanych pojawia się często tylko na stronach z osadzonymi filmami lub mapami.