Krótka odpowiedź: certyfikat SSL szyfruje połączenie między przeglądarką a Twoją stroną. Dzięki niemu dane z formularzy, hasła i płatności nie przechodzą przez sieć otwartym tekstem, a adres strony zaczyna się od https. Dla strony firmowej i większości sklepów wystarczy darmowy certyfikat Let's Encrypt, który serwer odnawia automatycznie. Płatny certyfikat nie szyfruje mocniej, potwierdza tylko dodatkowo dane firmy. U nas certyfikat SSL jest w pakiecie z domeną i hostingiem: pierwszy rok w cenie strony, potem od 399 zł rocznie za cały komplet.
Co to jest certyfikat SSL
Certyfikat SSL to plik na serwerze, który robi dwie rzeczy. Potwierdza przeglądarce, że łączy się z właściwą domeną, i pozwala zaszyfrować wszystko, co płynie między odwiedzającym a stroną. Formalnie dzisiejsze połączenia działają na protokole TLS, następcy SSL, ale w ofertach hostingu i w rozmowach wciąż mówi się „certyfikat SSL”.
Po czym poznasz, że strona go ma? Adres zaczyna się wtedy od https. Strony bez certyfikatu przeglądarka Chrome oznacza przy adresie jako niezabezpieczone, co wielu klientów odczytuje jako sygnał, żeby niczego tam nie wpisywać. Google od 2014 roku traktuje https jako jeden z sygnałów przy układaniu wyników wyszukiwania.
Jak sprawdzić, czy Twoja strona ma certyfikat SSL
- Adres. Wpisz adres strony z http:// na początku. Poprawnie ustawiona strona sama przeniesie Cię na https://.
- Ikona przy adresie. Kliknij ikonę po lewej stronie adresu w przeglądarce. Zobaczysz informację o połączeniu, a w szczegółach certyfikatu jego wystawcę i datę ważności.
- Wszystkie podstrony. Otwórz kilka podstron, formularz kontaktowy i koszyk, jeśli masz sklep. Ostrzeżenie tylko na części strony zwykle oznacza treści mieszane, o których piszemy niżej.
- Data ważności. Jeśli certyfikat wygasa za kilka dni, a nikt go nie odnawia automatycznie, ustaw przypomnienie albo zapytaj hosting, jak odbywa się odnawianie.
Rodzaje certyfikatów SSL: DV, OV, EV i wildcard
Wszystkie rodzaje szyfrują połączenie tak samo mocno. Różnią się tym, co wystawca sprawdza, zanim wyda certyfikat.
| Rodzaj | Co potwierdza | Dla kogo |
|---|---|---|
| DV (weryfikacja domeny) | że kontrolujesz domenę | strony firmowe, blogi, większość sklepów |
| OV (weryfikacja organizacji) | domenę i dane firmy, widoczne w szczegółach certyfikatu | firmy, które chcą pokazać zweryfikowane dane |
| EV (rozszerzona weryfikacja) | domenę i firmę po najdokładniejszym sprawdzeniu | banki, instytucje, duże platformy |
| Wildcard | domenę i wszystkie jej subdomeny | firmy z wieloma subdomenami, np. sklep.twojadomena.pl |
Kiedyś certyfikat EV dawał zielony pasek z nazwą firmy przy adresie. Od 2019 roku główne przeglądarki tego nie pokazują, więc dla klienta strona z EV wygląda tak samo jak strona z darmowym DV.
Darmowy czy płatny certyfikat SSL
Darmowy certyfikat Let's Encrypt to certyfikat DV. Jest ważny 90 dni, a serwer odnawia go automatycznie, więc przy dobrym hostingu nie musisz o nim pamiętać. Dla strony firmowej, bloga i typowego sklepu to w pełni wystarczające rozwiązanie.
Płatny certyfikat ma sens, gdy potrzebujesz weryfikacji firmy (OV albo EV), gdy wymaga tego klient albo przetarg, albo gdy Twój hosting nie obsługuje darmowych certyfikatów. W tym ostatnim przypadku zwykle taniej jest zmienić hosting niż co roku kupować certyfikat.
Nie płać za certyfikat tylko po to, żeby strona była „bezpieczniejsza”. Szyfrowanie jest takie samo, a o bezpieczeństwie strony decydują aktualizacje, hasła i kopie zapasowe, nie cena certyfikatu.
Od 2026 roku certyfikaty są ważne coraz krócej
Przeglądarki i wystawcy certyfikatów, zrzeszeni w CA/Browser Forum, ustalili harmonogram skracania ważności wszystkich publicznych certyfikatów:
- od 15 marca 2026 roku certyfikat może być ważny najwyżej 200 dni,
- od 15 marca 2027 roku najwyżej 100 dni,
- od 15 marca 2029 roku najwyżej 47 dni.
Dotyczy to także płatnych certyfikatów, które wcześniej wystawiano nawet na ponad rok. W praktyce ręczne odnawianie przestaje mieć sens: jeśli certyfikat Twojej strony nie odnawia się sam, prędzej czy później wygaśnie w najmniej wygodnym momencie. Zapytaj hosting, czy odnawianie jest automatyczne.
Najczęstsze problemy z SSL i jak je naprawić
„Twoje połączenie nie jest prywatne”
Ten komunikat przeglądarka pokazuje, gdy certyfikat wygasł, jest wystawiony na inną domenę albo został źle zainstalowany. Większość odwiedzających w tym miejscu zamyka stronę. Sprawdź datę ważności i to, czy certyfikat obejmuje adres z www i bez www. Jeśli błąd widzi tylko jedna osoba, winna bywa zła data w jej komputerze.
Strona ma https, ale przeglądarka dalej ostrzega
To zwykle treści mieszane: strona działa na https, ale część obrazków, skryptów albo czcionek ładuje się po starym adresie http. W WordPressie najczęściej siedzą one w treściach wpisów i ustawieniach motywu. Trzeba je podmienić na https w bazie danych, najlepiej narzędziem, które poprawnie obsługuje zapisane ustawienia, na przykład poleceniem search-replace w WP-CLI, zamiast ręcznej edycji bazy.
Strona działa naraz pod http i https
Wtedy Google widzi dwie wersje tej samej strony, a część klientów wchodzi bez szyfrowania. Ustaw stałe przekierowanie 301 z http na https dla całej domeny.
Certyfikat wygasł
Odnów go w panelu hostingu i od razu sprawdź, dlaczego nie odnowił się sam. Przy coraz krótszej ważności certyfikatów ręczne odnawianie nie wystarczy na długo.
Jak włączyć SSL w WordPressie
- Włącz certyfikat w panelu hostingu, najczęściej jednym przyciskiem dla Let's Encrypt, dla domeny z www i bez www.
- Zmień adresy w WordPressie: w Ustawieniach ogólnych oba adresy (WordPressa i witryny) muszą zaczynać się od https.
- Ustaw przekierowanie 301 z http na https dla całej domeny.
- Popraw treści mieszane w bazie danych i sprawdź kilka podstron, formularz i koszyk.
- Sprawdź formularze i płatności: wyślij testowe zapytanie i zobacz, czy dochodzi.
- Sprawdź Google Search Console: jeśli masz dodaną tylko wersję http, dodaj stronę jako domenę albo wersję https, żeby widzieć aktualne dane.
Przed każdą z tych zmian zrób kopię zapasową strony. Jak to zrobić porządnie, opisujemy w poradniku kopia zapasowa WordPress. Pozostałe kroki, które chronią stronę przed włamaniem, znajdziesz w poradniku jak zabezpieczyć WordPress.