Zapytaj kogokolwiek, co to jest certyfikat SSL, a usłyszysz różne odpowiedzi, od „to, co sprawia, że działa HTTPS” po „nie wiem, ale wiem, że strony go potrzebują”. Oba są bliższe prawdy, niż się wydaje. Certyfikat SSL to cyfrowy dokument, który szyfruje połączenie między przeglądarką odwiedzającego a serwerem strony i jest wydawany konkretnie dla nazwy domeny. Wpływa na to, jak strona wygląda w przeglądarkach, jak traktują ją wyszukiwarki i czy odwiedzający ufają jej na tyle, by zostać.
Co to jest certyfikat SSL?
Certyfikat SSL to plik cyfrowy zainstalowany na serwerze, który robi dwie rzeczy. Po pierwsze, szyfruje dane przesyłane między przeglądarką odwiedzającego a Twoim serwerem, więc żadna informacja, w tym dane z formularzy, dane logowania i dane płatnicze, nie może zostać odczytana przez nikogo, kto przechwyci połączenie. Po drugie, potwierdza, że serwer należy do domeny, za którą się podaje, dzięki czemu odwiedzający mogą mieć pewność, że trafili na właściwą stronę.
SSL oznacza Secure Sockets Layer. Technologię aktualizowano przez lata i obecny standard technicznie nazywa się TLS (Transport Layer Security), ale określenie SSL zostało w powszechnym użyciu i większość ludzi, rejestratorów i dostawców hostingu nadal nazywa te certyfikaty certyfikatami SSL, niezależnie od faktycznej wersji.
Gdy certyfikat jest zainstalowany i ważny, przeglądarki pokazują ikonę kłódki w pasku adresu i ładują stronę przez HTTPS. Literka „S” na końcu HTTP to właśnie to, co umożliwia SSL. Bez certyfikatu połączenie nie jest szyfrowane, adres pokazuje zwykłe HTTP, a nowoczesne przeglądarki wyświetlają odwiedzającym ostrzeżenie „Niezabezpieczona”.
Co oznacza HTTPS i jak SSL sprawia, że działa?
HTTP to protokół, którego przeglądarki używają do żądania i odbierania stron internetowych. HTTPS to ten sam protokół z zaszyfrowaną warstwą na wierzchu, zapewnianą przez certyfikat SSL. Za każdym razem, gdy odwiedzający ładuje stronę używającą HTTPS, jego przeglądarka i serwer wykonują szybką wymianę weryfikacyjną. W jej trakcie przeglądarka sprawdza certyfikat SSL, potwierdza, że jest ważny i wydany dla właściwej domeny, i nawiązuje zaszyfrowane połączenie. Potem wszystkie dane między odwiedzającym a serwerem są w trakcie przesyłu zaszyfrowane.
Dla odwiedzających oznacza to, że wszystko, co wpiszą w formularz, każda przeglądana strona i wszystkie dane, które strona odsyła do ich przeglądarki, nie mogą zostać odczytane przez osobę trzecią obserwującą to połączenie. Dla właścicieli marek oznacza to, że komunikacja między stroną a jej odwiedzającymi jest domyślnie prywatna i bezpieczna.
Ikona kłódki w pasku adresu przeglądarki to widoczne potwierdzenie, że HTTPS jest aktywne, a certyfikat ważny. Zielona lub szara kłódka oznacza, że połączenie jest szyfrowane, a certyfikat zweryfikowany. Przełamana kłódka, przekreślona kłódka albo brak kłódki oznacza, że połączenie nie jest szyfrowane albo jest problem z certyfikatem.
Jak certyfikat SSL łączy się z domeną?
Certyfikat SSL jest wydawany dla konkretnej nazwy domeny. Gdy urząd certyfikacji, czyli zaufana organizacja wydająca i sprawdzająca certyfikaty, podpisuje certyfikat, wiąże go z jedną lub kilkoma nazwami domen. Certyfikat wydany dla twojamarka.pl obejmuje dokładnie tę domenę. Nie obejmuje automatycznie wersji z www, wariantów subdomen ani żadnej innej domeny, chyba że wprost je w nim ujęto.
To bezpośredni związek między SSL a Twoją domeną. Certyfikat nie jest instalowany na ogólnym serwerze. Jest wydawany dla Twojej nazwy domeny, a przeglądarka sprawdza, czy domena w certyfikacie zgadza się z domeną, na którą wchodzi odwiedzający. Jeśli się nie zgadzają, przeglądarka pokazuje ostrzeżenie bezpieczeństwa, niezależnie od tego, czy sam certyfikat jest ważny.
Poprzedni rozdział o ochronie domeny przed przejęciem opisywał zagrożenia na poziomie konta dla Twojej rejestracji. SSL działa na innej warstwie, chroniąc to, co dzieje się w połączeniu, a nie to, kto kontroluje rejestrację domeny. Zrozumienie, czym jest nazwa domeny i jak działa jako adres Twojej strony, pomaga lepiej zobaczyć ten związek. Domena to nazwa, z którą związany jest certyfikat, a zarówno nazwa, jak i certyfikat muszą być w porządku, by bezpieczne połączenie działało.
Istotny jest tu też związek między domeną a miejscem, gdzie hostowane są pliki strony. Ponieważ certyfikat jest zainstalowany na serwerze, na którym działa strona, a domena wskazuje na ten serwer, oba elementy muszą być zgodne. Rozdział o domenie i hostingu opisuje, jak nazwa domeny i konto hostingowe się łączą, a to ta sama infrastruktura, dzięki której SSL działa w praktyce.
Jakie są rodzaje certyfikatów SSL?
Certyfikaty SSL występują w trzech głównych poziomach weryfikacji. Różnią się tym, jak dokładnie urząd certyfikacji sprawdza organizację stojącą za domeną przed wydaniem certyfikatu.
Weryfikacja domeny (DV)
Certyfikat z weryfikacją domeny potwierdza, że osoba, która o niego prosi, faktycznie kontroluje domenę. Urząd certyfikacji sprawdza, czy ma ona dostęp do rekordów DNS domeny albo do skrzynki e-mail z nią powiązanej. Nie weryfikuje się tożsamości ani istnienia prawnego organizacji. Certyfikaty DV są wydawane szybko, często automatycznie, i są najczęstszym rodzajem dla stron osobistych, blogów i małych stron marek. Kłódka się pojawia, połączenie jest szyfrowane, a odwiedzający widzą HTTPS. Dla większości stron DV wystarcza.
Weryfikacja organizacji (OV)
Certyfikat z weryfikacją organizacji obejmuje sprawdzenie istnienia prawnego organizacji i jej danych kontaktowych. Urząd certyfikacji sprawdza rejestry publiczne, by potwierdzić, że organizacja jest prawdziwa, a osoba wnioskująca o certyfikat ma do tego uprawnienia. Certyfikaty OV zwykle stosują ugruntowane marki i organizacje, które chcą mieć przy certyfikacie wyższy poziom zweryfikowanej tożsamości.
Rozszerzona weryfikacja (EV)
Certyfikat z rozszerzoną weryfikacją wiąże się z najdokładniejszym procesem sprawdzania. Urząd certyfikacji sprawdza rejestrację prawną, adres fizyczny, to, czy organizacja faktycznie działa, i czy osoba składająca wniosek ma prawo o niego prosić. Certyfikaty EV były historycznie kojarzone z zielonym paskiem adresu w przeglądarkach, choć większość nowoczesnych przeglądarek przestała wyraźnie pokazywać tę różnicę. Są najczęstsze w instytucjach finansowych i na platformach e-commerce, gdzie zaufanie jest kwestią kluczową.
Dla typowej strony marki wystarcza certyfikat DV. Szyfrowanie i kłódka HTTPS są identyczne we wszystkich trzech rodzajach. Różnica dotyczy poziomu tożsamości organizacji, który został zweryfikowany i dołączony do certyfikatu.
Co dzieje się ze stroną bez certyfikatu SSL?
Strona bez certyfikatu SSL ładuje się przez zwykłe HTTP. Dla odwiedzających najbardziej widoczną konsekwencją jest ostrzeżenie w przeglądarce. Chrome i inne główne przeglądarki wyświetlają etykietę „Niezabezpieczona” w pasku adresu dla każdej strony, która nie działa przez HTTPS. Na stronach z formularzami lub polami logowania przeglądarki mogą pokazać wyraźniejsze ostrzeżenie, które aktywnie zniechęca do wpisywania jakichkolwiek informacji.
Sygnał zaufania, który to wysyła, jest znaczący. Osoby, które widzą etykietę „Niezabezpieczona”, częściej wychodzą, zanim cokolwiek przeczytają. Dla strony, która prosi odwiedzających o kontakt, zapis na cokolwiek lub zakup, brak SSL bezpośrednio wpływa na to, ilu z nich dokończy działanie.
Wpływ na SEO też jest realny. Google potwierdził HTTPS jako sygnał rankingowy, co oznacza, że strony z SSL mają mierzalną przewagę w wynikach wyszukiwania nad równoważnymi stronami bez niego. Sama przewaga nie jest ogromna, ale w połączeniu z wyższym odsetkiem odrzuceń, który bierze się z ostrzeżeń przeglądarki, strona bez SSL walczy pod górkę na kilku frontach. Opisuje to dokładniej następna sekcja.
Jak SSL wpływa na pozycje w wyszukiwarce?
Google używa HTTPS jako sygnału rankingowego od 2014 roku. Sam sygnał daje umiarkowany wzrost pozycji, ale dalsze skutki braku SSL są często ważniejsze niż sam sygnał. Strona, która wywołuje ostrzeżenia bezpieczeństwa w przeglądarce, będzie miała wyższy odsetek odrzuceń, krótszy czas na stronie i mniej konwersji. Wszystkie te sygnały zachowania z czasem wracają do wyników w wyszukiwarce.
Roboty Google wolą też indeksować wersje stron na HTTPS. Jeśli Twoja strona działa i na HTTP, i na HTTPS bez właściwej konfiguracji, możesz mieć problemy z duplikacją treści, rozbite sygnały linków i zamieszanie przy skanowaniu. Zainstalowany i poprawnie skonfigurowany SSL, z przekierowaniem z HTTP na HTTPS, trzyma wszystkie te sygnały skupione na jednej wersji strony.
Z czysto praktycznego punktu widzenia HTTPS to dziś podstawowe oczekiwanie wobec każdej strony, która chce być wysoko w wynikach i traktowana poważnie przez odwiedzających. To nie tyle przewaga konkurencyjna, co bilet wstępu.
Jak zdobyć certyfikat SSL?
Są trzy główne sposoby zdobycia certyfikatu SSL dla domeny, a właściwy zależy od tego, gdzie hostowana jest strona i jak wygląda Twój hosting.
Przez dostawcę hostingu lub platformę stron
Jeśli strona jest hostowana na platformie lub u dostawcy hostingu, najprostsza droga prowadzi przez nich. Wielu dostawców hostingu i platform stron dołącza SSL do oferty i instaluje go automatycznie. Gdy podłączasz domenę do konta hostingowego, certyfikat jest wydawany i konfigurowany bez Twojego udziału. Ta droga wywołuje najmniej tarcia i najmniej błędów konfiguracji.
Przez rejestratora domeny
Niektórzy rejestratorzy domen oferują certyfikaty SSL jako dodatek do rejestracji. Kupujesz certyfikat w tym samym panelu, w którym zarejestrowano domenę, a potem instalujesz go na serwerze albo stosujesz instrukcje rejestratora. Proces wymaga więcej pracy własnej niż uzyskanie SSL u dostawcy, który to automatyzuje, ale to prosta opcja dla osób zarządzających własnym serwerem. Rozdział o tym, jak zarejestrować domenę, to przydatne źródło, by zrozumieć, co rejestratorzy zwykle oferują obok rejestracji.
Darmowy SSL z automatycznego urzędu certyfikacji
Istnieją darmowe, zautomatyzowane urzędy certyfikacji, które wydają certyfikaty DV bez kosztów. Powstały, by SSL był dostępny dla każdej strony w internecie, i to się udało. Większość dostawców hostingu obsługuje taki darmowy certyfikat natywnie lub przez integracje, a wielu konfiguruje go automatycznie, gdy podłączasz domenę. Certyfikaty odnawiają się automatycznie co 90 dni, co usuwa ryzyko wygaśnięcia certyfikatu i ostrzeżeń w przeglądarce.
Kiedy użyć darmowego certyfikatu SSL, a kiedy płatnego?
Dla większości stron marek darmowy certyfikat z automatycznego urzędu certyfikacji pokrywa wszystko, co potrzebne. Szyfrowanie jest identyczne jak w certyfikatach płatnych. Kłódka się pojawia. Protokół HTTPS działa. Odwiedzający widzą bezpieczną stronę. Jeśli Twój hosting to obsługuje i konfiguruje automatycznie, nie ma powodu płacić za certyfikat tylko po to, by mieć taką samą ochronę na poziomie DV.
Certyfikaty płatne mają sens w konkretnych sytuacjach. Jeśli potrzebujesz certyfikatu OV lub EV do weryfikacji organizacji, wymaga to certyfikatu płatnego, bo darmowe urzędy wydają tylko DV. Jeśli prowadzisz duży sklep internetowy, usługę finansową albo platformę, na której tożsamość organizacji za stroną jest ważnym czynnikiem zaufania dla użytkowników, dodatkowa weryfikacja z OV lub EV jest warta kosztu.
Certyfikaty płatne często mają też funkcje takie jak gwarancja, czyli finansowe zabezpieczenie na mało prawdopodobny przypadek, gdy błąd certyfikatu spowoduje problem z bezpieczeństwem, oraz bardziej szczegółowa obsługa klienta. Dla małej strony marki lub strony nastawionej na treści te dodatki rzadko dają praktyczną wartość. Dla strony obsługującej duże wolumeny transakcji gwarancja i dostęp do wsparcia mogą mieć znaczenie.
Odnawianie certyfikatu SSL i co się dzieje, gdy certyfikat wygaśnie
Certyfikaty SSL mają datę wygaśnięcia. Standardowe certyfikaty są ważne do 13 miesięcy (około 397 dni). Gdy certyfikat wygaśnie, przeglądarki natychmiast pokazują ostrzeżenia bezpieczeństwa każdemu odwiedzającemu, niezależnie od tego, jak strona wyglądała dzień wcześniej. Kłódka znika, pojawia się etykieta „Niezabezpieczona”, a odwiedzający widzą wyraźne strony błędu ostrzegające, że certyfikat strony wygasł.
To szybki sposób na utratę zaufania odwiedzających i ruchu organicznego. Ostrzeżenia o wygaśnięciu certyfikatu wychwytują też narzędzia monitorujące i mogą wywołać powiadomienia z Search Console lub usług monitorowania dostępności, jeśli je masz skonfigurowane.
Praktyczne rozwiązanie jest takie samo jak przy wygaśnięciu domeny. Zautomatyzuj odnawianie. Darmowe certyfikaty odnawiają się automatycznie co 90 dni, jeśli hosting poprawnie skonfigurował proces odnawiania. Wielu dostawców certyfikatów płatnych też oferuje automatyczne odnawianie. Jeśli sam zarządzasz certyfikatem, ustaw przypomnienie w kalendarzu z dużym wyprzedzeniem przed datą wygaśnięcia, by mieć czas na odnowienie i ponowną instalację bez przerwy w ochronie.
Co to jest certyfikat wildcard SSL?
Standardowy certyfikat SSL obejmuje konkretną domenę i opcjonalnie wersję z www. Certyfikat wildcard obejmuje domenę główną i wszystkie jej subdomeny naraz. Wildcard dla twojamarka.pl obejmie też sklep.twojamarka.pl, blog.twojamarka.pl, app.twojamarka.pl i każdą inną utworzoną subdomenę, bez potrzeby osobnego certyfikatu dla każdej.
Certyfikaty wildcard są przydatne dla marek prowadzących wiele usług lub sekcji strony na różnych subdomenach. Rozdział o domenach własnych i subdomenach opisuje, kiedy subdomeny mają sens i jak odnoszą się do domeny głównej, a to kontekst, w którym certyfikaty wildcard stają się istotne.
Dla prostej strony marki na jednej domenie z wersją www wystarcza certyfikat standardowy. Wildcard to praktyczny krok wyżej, gdy struktura domeny obejmuje wiele aktywnych subdomen.
Jak WEMASY obsługuje SSL
WEMASY zapewnia SSL na wszystkich stronach hostowanych na platformie. Gdy podłączasz domenę do strony WEMASY, certyfikat SSL jest wydawany i konfigurowany automatycznie. Przekierowanie na HTTPS jest ustawione domyślnie, więc domena otwiera się bezpiecznie bez ręcznej konfiguracji. Odnawianiem certyfikatu zajmuje się platforma, więc nie ma daty wygaśnięcia do śledzenia ani procesu odnawiania do prowadzenia.
Dla domen zarejestrowanych lub podłączonych przez WEMASY certyfikat obejmuje skonfigurowaną domenę. Co zawiera każdy plan, zobaczysz w cenniku WEMASY.
Najczęstsze pytania
Czy certyfikat SSL chroni moją stronę przed włamaniem?
Certyfikat SSL szyfruje dane przesyłane między przeglądarką odwiedzającego a Twoim serwerem. Nie chroni plików, bazy danych ani kodu strony przed nieautoryzowanym dostępem. Strona może mieć ważny certyfikat SSL i nadal być podatna na ataki na serwer, system zarządzania treścią lub samą aplikację. SSL odpowiada za jedno konkretne ryzyko, przechwycenie danych w przesyle, i za nic więcej. Szerszą kategorię bezpieczeństwa strony zapewnia aktualizowanie platformy i oprogramowania. W kreatorze stron WEMASY ustawisz to bezpośrednio na swojej stronie.
Czy mogę mieć SSL na jednej stronie, a na innych nie?
Nie. Certyfikat SSL dotyczy całej domeny, a nie pojedynczych podstron. Gdy HTTPS jest skonfigurowane, a żądania HTTP przekierowane na HTTPS, każda strona w domenie ładuje się przez bezpieczne połączenie. Nie można wybiórczo włączyć szyfrowania tylko dla niektórych stron w tej samej domenie. Niektóre strony ładują treści mieszane, czyli strony HTTPS, które zawierają zasoby, takie jak obrazy czy skrypty, wciąż ładowane przez zwykłe HTTP, ale to problem konfiguracji, a nie zamierzone ustawienie. Przeglądarki oznaczają to jako problem bezpieczeństwa.
Czy moje istniejące linki przestaną działać po przejściu z HTTP na HTTPS?
Linki zewnętrzne prowadzące do wersji HTTP Twoich adresów URL nadal będą działać, jeśli ustawisz poprawne przekierowanie 301 z HTTP na HTTPS. Przekierowanie 301 automatycznie kieruje odwiedzających i wyszukiwarki ze starego adresu HTTP na wersję HTTPS, zachowując przy tym większość wartości linku. Bez przekierowania linki HTTP prowadzą do niezaszyfrowanej wersji strony albo do błędu, zależnie od konfiguracji serwera. Poprawne ustawienie przekierowania to standardowy krok każdej instalacji SSL.
Czy potrzebuję osobnego certyfikatu SSL dla każdego rozszerzenia domeny, które posiadam?
Tak. Certyfikat SSL jest wydawany dla konkretnej domeny. Jeśli masz twojamarka.pl i twojamarka.net jako osobne rejestracje, każda potrzebuje własnego certyfikatu. Certyfikat dla twojamarka.pl nie dotyczy twojamarka.net. Rozszerzenie domeny jest częścią tego, co certyfikat obejmuje. Rozdział o tym, czym jest rozszerzenie domeny, wyjaśnia, jak TLD działają jako odrębne identyfikatory, co pomaga zrozumieć, dlaczego każda domena potrzebuje własnego certyfikatu.
Czym różni się SSL od ochrony prywatności domeny?
To dwie osobne rzeczy, które odpowiadają na różne obawy. SSL szyfruje połączenie między przeglądarką odwiedzającego a Twoim serwerem, chroniąc dane w przesyle. Ochrona prywatności domeny (prywatność WHOIS) ukrywa osobiste dane kontaktowe rejestrującego domenę w publicznej bazie WHOIS, więc imię i nazwisko oraz adres nie są widoczne dla każdego, kto sprawdzi domenę. Jedno chroni dane odwiedzających podczas przeglądania, drugie chroni dane osobowe rejestrującego przed publicznym wyszukaniem. Warto mieć oba, ale służą zupełnie różnym celom.
Mój certyfikat SSL jest pokazywany jako ważny, a odwiedzający nadal widzą ostrzeżenie bezpieczeństwa. Co to powoduje?
Najczęstszą przyczyną są treści mieszane. Dzieje się tak, gdy strona HTTPS ładuje jeden lub więcej zasobów przez HTTP, takich jak obraz, skrypt czy arkusz stylów hostowany pod niezabezpieczonym adresem. Przeglądarka oznacza stronę jako niebezpieczną, bo nie cała jej treść jest szyfrowana. Sprawdź kod źródłowy strony pod kątem linków lub osadzonych zasobów zaczynających się od „http://” zamiast „https://” i zmień je na wersje bezpieczne. Większość narzędzi deweloperskich przeglądarek potrafi wskazać źródła treści mieszanych wprost.
Następny rozdział dotyczy przekierowań 301: czym są, jak działają i kiedy są potrzebne, by przenieść ruch i wartość linków z jednego adresu URL na inny.