Przejście strony z HTTP na HTTPS zmienia jedną literę w pasku adresu, a zmienia wszystko w tym, jak dane przepływają między stroną a odwiedzającymi. HTTPS, czyli Hypertext Transfer Protocol Secure, to szyfrowana wersja protokołu, którego strony używają do wysyłania i odbierania danych. Wpływa na pozycje w wyszukiwarce, kształtuje sposób, w jaki przeglądarki pokazują Twoją stronę odwiedzającym, i decyduje o tym, czy dane osobowe wysyłane przez Twoje strony są chronione, czy odsłonięte w drodze. Dokładna wiedza o tym, co HTTPS robi, a czego nie robi, odróżnia naprawdę bezpieczną konfigurację od takiej, która tylko tak wygląda.
HTTP to podstawa komunikacji danych w sieci. Za każdym razem, gdy przeglądarka prosi o stronę, a serwer ją dostarcza, ta wymiana odbywa się przez HTTP. Problem w tym, że niezaszyfrowany HTTP przesyła dane jako zwykły tekst. Każdy, kto ma dostęp do ruchu sieciowego między przeglądarką a serwerem, może odczytać, co jest wysyłane. HTTPS rozwiązuje to, nakładając szyfrowanie na tę samą komunikację za pomocą certyfikatu SSL. Pełne wyjaśnienie, jak działają certyfikaty SSL, znajdziesz w artykule o tym, czym jest certyfikat SSL i jak działa.
Czym różni się HTTP od HTTPS?
Jak podróżują dane
- HTTP przesyła dane jako zwykły tekst. Formularz wysłany przez HTTP przesyła dane odwiedzającego przez sieci w formacie, który można odczytać po przechwyceniu
- HTTPS szyfruje dane, zanim opuszczą przeglądarkę, i odszyfrowuje je dopiero po dotarciu do serwera. Przechwycone dane są nieczytelne bez klucza do odszyfrowania
- Ta różnica jest niewidoczna dla odwiedzających podczas zwykłego korzystania, ale decyduje o tym, czy wysyłane przez nich dane są chronione, czy odsłonięte w drodze
Co przeglądarki pokazują odwiedzającym
- Strony serwowane przez HTTPS pokazują w pasku adresu ikonę kłódki, która oznacza, że połączenie jest bezpieczne
- Strony serwowane przez HTTP pokazują etykietę „Niezabezpieczona”. Na stronach z polami do wpisywania niektóre przeglądarki pokazują wyraźniejsze ostrzeżenie
- Odwiedzający, którzy widzą etykietę „Niezabezpieczona” przed wysłaniem formularza lub zakupem, rzadziej idą dalej
Rola certyfikatu SSL
- HTTPS wymaga certyfikatu SSL zainstalowanego na serwerze. To certyfikat umożliwia szyfrowane połączenia
- Bez ważnego certyfikatu przeglądarka nie może ustanowić bezpiecznego połączenia i zamiast normalnie załadować stronę, wyświetla ostrzeżenie
- Certyfikat potwierdza też tożsamość strony, czyli że domena należy do organizacji, którą podaje
Jak HTTPS chroni dane Twoich odwiedzających?
Gdy odwiedzający łączy się ze stroną HTTPS, przeglądarka i serwer tworzą zaszyfrowany kanał w procesie zwanym uzgadnianiem TLS. Wszystkie dane wymieniane od tej chwili są szyfrowane przez cały czas trwania sesji.
Co chroni HTTPS
- Wysłane formularze kontaktowe, w tym imiona, adresy e-mail i treść wiadomości
- Dane logowania, w tym nazwy użytkowników i hasła wpisywane na Twojej stronie
- Dane płatności, w tym numery kart i dane rozliczeniowe na stronach zamówienia
- Zapytania wpisywane w wyszukiwarce wewnętrznej strony
Czego HTTPS nie chroni
- HTTPS szyfruje dane w drodze, ale nie chroni danych po zapisaniu ich na serwerze. Wyciek z bazy danych to osobny problem bezpieczeństwa, któremu HTTPS nie zapobiega
- HTTPS nie czyni strony odporną na inne ataki. SQL injection, cross-site scripting i ataki siłowe celują w samą stronę, a nie w dane w drodze
- HTTPS to część szerszego podejścia do bezpieczeństwa, a nie kompletne rozwiązanie
Szerszy obraz zagrożeń, z jakimi mierzą się strony, i sposobów ich rozwiązywania znajdziesz w artykule o tym, dlaczego bezpieczeństwo strony jest ważne.
Jak HTTPS wpływa na pozycje w wyszukiwarce?
HTTPS jest potwierdzonym sygnałem rankingowym. Wyszukiwarki używają go jako jednego z czynników oceny stron, a strony bez HTTPS są w gorszej sytuacji niż równoważne strony serwowane bezpiecznie.
HTTPS jako bezpośredni sygnał rankingowy
- Strony serwowane przez HTTPS mają przewagę w rankingu nad stronami HTTP, które poza tym są identyczne
- Dla stron ściśle konkurujących w rankingu HTTPS może być czynnikiem, który decyduje o tym, która pojawi się wyżej
Związek z doświadczeniem na stronie
- HTTPS jest składnikiem sygnałów doświadczenia na stronie, które wyszukiwarki oceniają razem z Core Web Vitals
- Strona, która nie spełnia wymogu HTTPS, nie spełnia w pełni kryteriów doświadczenia na stronie, co wpływa na to, jak jest traktowana wobec stron, które je spełniają
- Pełny opis tego, co mierzą Core Web Vitals i jak wchodzą w ocenę doświadczenia na stronie, znajdziesz w artykule o tym, czym są Core Web Vitals
Ostrzeżenia w wynikach wyszukiwania
- Jeśli strona zostanie oznaczona z powodu problemów z bezpieczeństwem, wyszukiwarki mogą dodać ostrzeżenia do jej wpisu w wynikach albo całkowicie obniżyć jej widoczność
- Strona serwowana przez HTTP, która ma też inne problemy z bezpieczeństwem, może doświadczyć kumulujących się spadków widoczności w wyszukiwarce
Dokładność danych o źródłach wejść
- Gdy odwiedzający klika link ze strony HTTPS na stronę HTTP, źródło odesłania jest usuwane, a wizyta w analityce wygląda jak ruch bezpośredni
- Strony działające na HTTP tracą dokładne dane o źródłach z witryn HTTPS, co utrudnia śledzenie skuteczności marketingu
- Odesłania z HTTPS na HTTPS poprawnie przekazują pełne informacje o źródle
Co obejmuje przeniesienie strony na HTTPS?
Zdobycie certyfikatu SSL
- HTTPS wymaga certyfikatu SSL zainstalowanego na serwerze. W przypadku stron hostowanych na platformach, które zawierają certyfikaty, dzieje się to automatycznie
- W przypadku stron na serwerach zarządzanych samodzielnie certyfikat trzeba uzyskać od urzędu certyfikacji i zainstalować ręcznie
Aktualizacja linków wewnętrznych i odwołań do zasobów
- Po włączeniu HTTPS wszystkie linki wewnętrzne i odwołania do zasobów (obrazów, skryptów, arkuszy stylów) na stronie powinny wskazywać adresy HTTPS
- Strony, które ładują zasoby przez HTTP, gdy sama strona jest serwowana przez HTTPS, wywołują ostrzeżenia o treści mieszanej, co może zniweczyć korzyść z bezpieczeństwa i powodować ostrzeżenia w przeglądarce
Ustawienie przekierowań
- Przekierowanie z HTTP na HTTPS zapewnia, że każdy, kto trafi na wersję HTTP, zostanie automatycznie skierowany do wersji bezpiecznej
- Bez przekierowania strona ma w praktyce dwie wersje każdej podstrony, co tworzy problemy z duplikacją treści i dzieli sygnały linków między nie
Aktualizacja mapy witryny i ustawień Search Console
- Po przejściu na HTTPS zaktualizuj mapę witryny XML, żeby zawierała adresy HTTPS, i prześlij ją ponownie do wyszukiwarek
- Jeśli korzystasz z konta Search Console, dodaj wersję HTTPS swojej strony jako osobną usługę i zweryfikuj ją
Pełny przewodnik po ochronie strony poza HTTPS znajdziesz w artykule o tym, jak chronić stronę przed hakerami.
Jak WEMASY obsługuje HTTPS
Wszystkie strony zbudowane w WEMASY są domyślnie serwowane przez HTTPS. Certyfikaty SSL są częścią każdego planu i aktywują się automatycznie po utworzeniu strony. Nie ma osobnej konfiguracji, certyfikatu do kupienia ani odnawiania do pilnowania.
Linki wewnętrzne, zasoby i wszystkie treści serwowane przez platformę domyślnie używają adresów HTTPS. Ostrzeżenia o treści mieszanej nie są problemem dla stron hostowanych w WEMASY, bo platforma wymusza HTTPS wszędzie. Przekierowania z HTTP na HTTPS także obsługuje platforma, więc odwiedzający i wyszukiwarki zawsze trafiają do bezpiecznej wersji strony.
Zobacz, co jest w zestawie, na stronie kreatora stron WEMASY albo sprawdź plany na stronie z cennikiem.
Najczęściej zadawane pytania
Co znaczy HTTPS?
HTTPS to skrót od Hypertext Transfer Protocol Secure. To szyfrowana wersja HTTP, protokołu używanego do przesyłania danych między przeglądarką a serwerem WWW. Litera „S” oznacza, że połączenie jest zabezpieczone certyfikatem SSL, który szyfruje dane w drodze, żeby nie można ich było odczytać po przechwyceniu. Strona działająca na HTTPS pokazuje w pasku adresu kłódkę. W kreatorze stron WEMASY możesz to ustawić bezpośrednio na swojej stronie.
Czy HTTPS jest wymagany dla wszystkich stron?
Tak. HTTPS jest potrzebny każdej publicznie dostępnej stronie, nie tylko tym, które przetwarzają płatności lub obsługują wrażliwe dane. Przeglądarki wyświetlają etykietę „Niezabezpieczona” na stronach HTTP, co obniża zaufanie odwiedzających. HTTPS jest też potwierdzonym sygnałem rankingowym, więc strony HTTP są w gorszej sytuacji w wynikach wyszukiwania. Każda strona zbierająca informacje od odwiedzających przez formularze, komentarze lub logowania powinna być serwowana przez HTTPS jako minimum.
Czy HTTPS poprawia SEO?
Tak, bezpośrednio. HTTPS jest potwierdzonym sygnałem rankingowym, a strony serwowane przez HTTPS mają przewagę w rankingu nad równoważnymi stronami HTTP. HTTPS jest też składnikiem sygnałów doświadczenia na stronie, które wyszukiwarki oceniają razem z Core Web Vitals. Poza pozycjami ruch z odesłań HTTPS na HTTPS przekazuje do analityki pełne dane o źródle, a strony HTTP tracą informacje o źródle odesłań z witryn HTTPS.
Czym różni się HTTP od HTTPS?
HTTP przesyła dane jako zwykły tekst, czyli wysłane formularze, dane logowania i inne dane są wysyłane przez sieć w czytelnym formacie. HTTPS szyfruje te dane, zanim opuszczą przeglądarkę, więc może je odczytać tylko właściwy serwer. HTTPS uwierzytelnia też stronę za pomocą certyfikatu SSL, potwierdzając, że strona jest tym, za co się podaje. Przeglądarki oznaczają strony HTTP jako „Niezabezpieczona”, a na stronach HTTPS pokazują kłódkę.
Czy strona może mieć jednocześnie podstrony HTTP i HTTPS?
Technicznie tak, ale to powoduje problemy. Wyszukiwarki mogą zaindeksować obie wersje i uznać je za zduplikowaną treść. Sygnały linków rozkładają się na dwie wersje zamiast skupiać się na jednej. Odwiedzający mogą trafić na niezabezpieczoną wersję, jeśli przekierowania nie są poprawnie skonfigurowane. Strony, które ładują zasoby przez HTTP, gdy sama strona jest serwowana przez HTTPS, wywołują ostrzeżenia o treści mieszanej. Właściwe podejście to serwowanie wszystkich podstron przez HTTPS i przekierowanie wszystkich adresów HTTP do ich odpowiedników HTTPS.
Czy HTTPS chroni moją stronę przed hakerami?
HTTPS chroni dane w drodze między przeglądarką a serwerem. Nie chroni przed innymi rodzajami ataków, takimi jak SQL injection, cross-site scripting czy ataki siłowe na logowanie, które celują w samą stronę, a nie w dane w drodze. HTTPS to niezbędny podstawowy środek bezpieczeństwa, ale działa razem z innymi zabezpieczeniami, a nie zamiast nich.