Certyfikat SSL na stronie: wymagania prawne, techniczne i SEO

Żaden polski przepis nie nakazuje wprost, żeby każda strona miała certyfikat SSL. W praktyce jednak każda strona firmowa z formularzem kontaktowym, newsletterem albo koszykiem powinna działać wyłącznie przez HTTPS. Wynika to z RODO, ze standardów płatności kartowych i z tego, jak przeglądarki i Google traktują niezaszyfrowane strony. Poniżej zbieram wszystkie wymagania w jednym miejscu: prawne, techniczne i SEO. Dodaję też listę kontrolną, dzięki której sprawdzisz własną stronę w kilkanaście minut.

Marcinrezulak

Zadbaj o stronę, która budzi zaufanie

Marcin Rezulak tworzy strony z myślą o konwersji, łącząc projektowanie, kodowanie i SEO w jednym procesie.

Poznaj usługi tworzenia stron

Krótko mówiąc

Prawo: nie ma ustawy „o obowiązku SSL”, ale RODO wymaga zabezpieczeń odpowiednich do ryzyka. Wysyłanie danych z formularza otwartym tekstem trudno uznać za odpowiednie zabezpieczenie.
Sklepy: standard PCI DSS wymaga szyfrowania danych kart przesyłanych przez sieci publiczne, a poprawnie skonfigurowany TLS spełnia to wymaganie.
Technika: sam certyfikat nie wystarcza. Liczą się aktualne protokoły (TLS 1.2 i 1.3), pełny łańcuch certyfikatów, przekierowania 301, HSTS i automatyczne odnawianie.
SEO: HTTPS to lekki sygnał rankingowy. Nie wypchnie słabej strony na pierwsze miejsce, ale jego brak szkodzi zaufaniu i konwersji.
Ważność: okres ważności certyfikatów się skraca, więc ręczne odnawianie to proszenie się o awarię. Odnawianie trzeba zautomatyzować.

Czy certyfikat SSL jest obowiązkowy w Polsce?

To pytanie słyszę od klientów najczęściej, więc zacznę od uczciwej odpowiedzi: nie ma przepisu, który brzmi „strona internetowa musi mieć SSL”. Obowiązek wynika pośrednio z przepisów o ochronie danych i z wymagań operatorów płatności.

RODO: każda strona z formularzem przetwarza dane

Wielu przedsiębiorców myśli, że RODO dotyczy tylko dużych sklepów. Tak nie jest. PARP wskazuje, że strona firmowa przetwarza dane osobowe m.in. przez formularz kontaktowy, newsletter czy zapytanie ofertowe. Obowiązki dotyczą więc także małej firmy z prostą wizytówką.

RODO nie zawiera listy zabezpieczeń do odhaczenia. Jak wyjaśnia Naczelny Sąd Administracyjny, administrator sam dobiera środki techniczne i organizacyjne na podstawie analizy ryzyka. Musi przy tym chronić dane przed utratą, modyfikacją i nieuprawnionym dostępem. Do tego dochodzi zasada rozliczalności: według UODO administrator musi umieć wykazać, że wdrożone środki są odpowiednie do ryzyka.

W praktyce wygląda to tak: jeśli imię, e-mail i telefon klienta lecą z formularza do serwera niezaszyfrowane, każdy w tej samej sieci Wi-Fi (w kawiarni, w hotelu) może je przechwycić. Wytłumaczenie się z tego przed organem nadzorczym po incydencie byłoby bardzo trudne. Certyfikat SSL to dziś najtańszy i najprostszy środek, który ten problem usuwa.

HTTP and HTTPS data transfer comparison

Jeśli Twoja strona przetwarza dane szczególnie wrażliwe, na przykład zdrowotne w gabinecie albo finansowe w biurze rachunkowym, sam HTTPS nie wystarczy. Wtedy warto skonsultować całość zabezpieczeń z inspektorem ochrony danych lub prawnikiem specjalizującym się w RODO.

Sklep internetowy i płatności kartą

W e-commerce wymagania są bardziej konkretne. Wytyczne PCI Security Standards Council dla handlu elektronicznego mówią, że dane kart muszą być chronione podczas transmisji przez sieci publiczne. Prawidłowo wdrożony SSL/TLS to jeden ze sposobów spełnienia tego wymogu, a przestarzały SSL v2 jest w e-commerce wykluczony.

Nawet jeśli płatność obsługuje zewnętrzna bramka i dane karty nie trafiają na Twój serwer, sklep i tak przetwarza adresy, telefony i historię zamówień. Panel logowania klienta bez HTTPS to otwarte zaproszenie do kradzieży haseł. Dlatego w każdym sklepie, który wdrażam, HTTPS obejmuje całą domenę, a nie tylko koszyk.

Wymagania techniczne: co musi spełniać poprawne wdrożenie SSL

Zielona kłódka w przeglądarce nie oznacza jeszcze, że wszystko działa jak trzeba. CERT Polska w swojej bazie wiedzy o konfiguracji TLS opisuje wymagania, które rozkładam poniżej na konkretne punkty.

Wymaganie	Co to oznacza w praktyce	Co grozi, gdy go brakuje
Ważny certyfikat	Data ważności nie minęła	Pełnoekranowe ostrzeżenie w przeglądarce, utrata ruchu
Zgodność nazwy	Certyfikat obejmuje domenę z „www” i bez „www” oraz używane subdomeny	Błąd „certyfikat wystawiony dla innej nazwy”
Pełny łańcuch	Serwer wysyła certyfikat wraz z certyfikatami pośrednimi	Część urządzeń, zwłaszcza starszych telefonów, odrzuca połączenie
Aktualne protokoły	Włączone TLS 1.2 i TLS 1.3, wyłączone SSL 2.0, SSL 3.0, TLS 1.0 i 1.1	Podatności zagrażające poufności danych
Przekierowanie 301	Każdy adres http:// kieruje na wersję https://	Duplikaty w Google, część ruchu bez szyfrowania
HSTS	Nagłówek każe przeglądarce łączyć się tylko przez HTTPS	Ryzyko ataku na pierwsze, niezaszyfrowane połączenie
Automatyczne odnawianie	Certyfikat odnawia się sam (protokół ACME), a Ty dostajesz alert przed wygaśnięciem	Nagła awaria strony w najgorszym możliwym momencie
Brak mieszanej treści	Obrazy, skrypty i czcionki ładują się przez https://	Przeglądarka blokuje elementy lub usuwa kłódkę

CERT Polska wprost zaleca wyłączenie protokołów SSL 2.0, SSL 3.0, TLS 1.0 i TLS 1.1, włączenie HSTS oraz automatyczne pozyskiwanie i odnawianie certyfikatów przez ACME z powiadomieniami o zbliżającym się wygaśnięciu. Ciekawostka: choć wszyscy mówimy „SSL”, nowoczesne strony używają już wyłącznie jego następcy, czyli TLS. Nazwa „certyfikat SSL” po prostu się utrwaliła.

Jaki certyfikat wybrać: DV, OV czy EV

Certyfikaty różnią się tym, co sprawdza wystawca przed ich wydaniem. Poziom szyfrowania jest w każdym z nich taki sam.

DV (Domain Validation): potwierdza tylko, że kontrolujesz domenę. Wystarcza dla zdecydowanej większości stron firmowych, blogów i stron wydarzeń. Bezpłatne certyfikaty DV, np. od Let’s Encrypt, wydawane są automatycznie i dobrze nadają się do automatycznego odnawiania.
OV (Organization Validation): wystawca weryfikuje dodatkowo istnienie firmy. Wybierają go czasem firmy działające w branżach, gdzie klienci sprawdzają szczegóły certyfikatu, albo przy integracjach B2B, gdzie wymaga tego partner.
EV (Extended Validation): najdokładniejsza weryfikacja organizacji. Dawniej dawał wyróżnioną nazwę firmy w pasku adresu, dziś przeglądarki pokazują go niemal tak samo jak DV, więc dla typowej strony czy sklepu rzadko ma uzasadnienie kosztowe.
Wildcard i wielodomenowe: jeden certyfikat dla wielu subdomen (np. sklep., panel., blog.) lub kilku domen. Przydaje się, gdy rozbudowujesz projekt o aplikację czy panel klienta.

Moja zasada jest prosta: najpierw poprawna konfiguracja i automatyczne odnawianie, dopiero potem ewentualnie droższy typ certyfikatu. Źle wdrożony certyfikat EV chroni gorzej niż dobrze wdrożony darmowy DV.

Przejście z HTTP na HTTPS krok po kroku

Jeśli Twoja strona nadal działa na HTTP albo HTTPS wdrożono „na szybko”, przejdź przez te kroki w tej kolejności:

Zrób kopię zapasową plików i bazy danych. Zmiana adresów w bazie bywa nieodwracalna bez kopii.
Zainstaluj certyfikat w panelu hostingu lub na serwerze. Upewnij się, że obejmuje wersję z „www” i bez.
Zmień adres strony w CMS na https://, a następnie zaktualizuj wewnętrzne linki, obrazy i skrypty, żeby nie zostały odwołania do http://.
Ustaw przekierowania 301 z każdego adresu http:// na odpowiadający mu adres https://, strona po stronie, a nie wszystko na stronę główną.
Sprawdź mieszaną treść w narzędziach deweloperskich przeglądarki (zakładka Konsola) na kilku typach podstron: głównej, wpisie, karcie produktu, koszyku.
Zaktualizuj integracje: Google Search Console (dodaj wersję HTTPS lub usługę domenową), mapę witryny, Google Analytics, piksele reklamowe, adresy powrotu z bramki płatności.
Włącz HSTS dopiero wtedy, gdy wszystko działa stabilnie. Zacznij od krótkiego czasu obowiązywania i wydłużaj go stopniowo.
Skonfiguruj automatyczne odnawianie i alerty o wygaśnięciu certyfikatu.

Krok 7 wymaga ostrożności: HSTS z długim czasem obowiązywania sprawia, że przeglądarki przez wiele miesięcy nie połączą się z Twoją domeną bez szyfrowania. Jeśli certyfikat potem wygaśnie, strona będzie niedostępna dla odwiedzających. Jeśli nie zarządzasz serwerem samodzielnie, zostaw ten krok swojemu deweloperowi lub administratorowi hostingu.

Wybór serwera ma tu duże znaczenie, bo nie każdy hosting pozwala wygodnie zautomatyzować certyfikaty. Więcej piszę o tym w artykule o tym, jak wybrać hosting dla sklepu internetowego.

SSL a SEO: ile HTTPS daje w Google

Google ogłosił w 2014 roku, że HTTPS jest lekkim sygnałem rankingowym, o mniejszej wadze niż jakość treści. To nadal dobry opis sytuacji. Aktualna dokumentacja Google o page experience zaleca dostarczanie stron w bezpieczny sposób, ale podkreśla, że nie ma jednego sygnału, który sam z siebie zapewni wyższą pozycję.

Co to oznacza dla Ciebie?

Sam certyfikat nie podniesie pozycji. Jeśli konkurencja ma lepsze treści i szybszą stronę, HTTPS tego nie wyrówna.
Brak certyfikatu realnie szkodzi. Ostrzeżenie przeglądarki przy formularzu odstrasza użytkowników, a gorsze zachowanie użytkowników przekłada się na wyniki biznesowe szybciej niż jakikolwiek sygnał rankingowy.
Źle przeprowadzona migracja szkodzi najbardziej. Brak przekierowań 301, łańcuchy przekierowań, mapa witryny z adresami http:// czy kanoniczne adresy wskazujące starą wersję potrafią na tygodnie zamieszać w indeksie.

Z mojego doświadczenia przy migracjach: problemy z widocznością po przejściu na HTTPS prawie zawsze wynikają z błędów technicznych przy przekierowaniach, a nie z samego certyfikatu. Dlatego przy wdrożeniach traktuję HTTPS jako część technicznego SEO, a nie osobną usługę „do odhaczenia”.

Najczęstsze błędy po wdrożeniu HTTPS

CERT Polska wymienia błędy, które mogą powodować ostrzeżenia przeglądarki, odrzucenie połączeń albo przerwę w działaniu usługi: przestarzałe protokoły, niepełny łańcuch certyfikatów, wygaśnięcie certyfikatu lub certyfikat wystawiony na inną nazwę. Do tego dorzucam błędy, które najczęściej widzę podczas audytów:

Certyfikat tylko dla domeny bez „www”. Ktoś wpisuje adres z „www” i widzi ostrzeżenie.
Podwójne przekierowania. http://www → https://www → https:// zamiast jednego skoku. Spowalnia to stronę i marnuje budżet indeksowania.
Zapomniane subdomeny. Strona główna ma HTTPS, a panel klienta, sklep czy strona wydarzenia na subdomenie już nie.
Odwołania do http:// zaszyte w treści. Obrazki wstawione lata temu w edytorze, stare skrypty, czcionki z zewnętrznych serwerów.
Brak alertów. Automatyczne odnawianie przestaje działać po zmianie DNS lub przeniesieniu strony i nikt się o tym nie dowiaduje, dopóki klient nie zadzwoni.

Warto też pamiętać o granicach certyfikatu. SSL zabezpiecza połączenie między przeglądarką a serwerem. Nie chroni przed lukami w CMS, nieaktualnymi wtyczkami, słabymi hasłami ani błędną konfiguracją serwera. Te elementy wymagają regularnej opieki, o czym piszę w tekście o utrzymaniu strony www i zakresie umowy wsparcia.

Ważność i odnawianie certyfikatu

Certyfikaty SSL mają ograniczony czas ważności, a branża konsekwentnie go skraca. Let’s Encrypt, jeden z największych wystawców bezpłatnych certyfikatów, opisuje plan skrócenia maksymalnej ważności certyfikatów do 45 dni do lutego 2028 roku. Podkreśla przy tym, że automatyzacja zarządzania certyfikatami jest niezbędna.

Dla właściciela strony wniosek jest jeden: ręczne odnawianie raz na jakiś czas przestaje być realną opcją. Krótszy okres ważności to częstsze odnowienia, a każde odnowienie wykonywane ręcznie to okazja do pomyłki. Zadbaj o trzy rzeczy:

Automatyczne odnawianie przez ACME na serwerze lub w panelu hostingu.
Powiadomienia o wygaśnięciu wysyłane na adres, który ktoś faktycznie czyta, a nie na skrzynkę byłego pracownika.
Zapis w umowie z wykonawcą lub firmą utrzymującą stronę, kto odpowiada za certyfikat i w jakim czasie reaguje na awarię. Na co zwrócić uwagę w takim dokumencie, opisuję w artykule o tym, co musi zawierać umowa na stronę internetową.

Jeśli certyfikat już wygasł, odnów go lub wystaw nowy w panelu hostingu, wyczyść pamięć podręczną serwera i sprawdź stronę w trybie incognito. Następnie ustal, dlaczego automatyczne odnawianie nie zadziałało, bo bez tego problem wróci przy kolejnym terminie.

Jak sprawdzić, czy certyfikat na Twojej stronie działa poprawnie

Podstawowy test zrobisz samodzielnie w kilka minut:

Kliknij ikonę obok adresu w przeglądarce i otwórz szczegóły certyfikatu. Sprawdź datę ważności i to, czy certyfikat obejmuje Twoją domenę.
Wpisz ręcznie adres z http:// oraz wersje z „www” i bez. Każda powinna od razu trafić na jedną, docelową wersję https://.
Otwórz kilka podstron i zajrzyj do konsoli w narzędziach deweloperskich (klawisz F12). Komunikaty o „mixed content” oznaczają elementy ładowane bez szyfrowania.
Sprawdź stronę na telefonie, najlepiej starszym. Niepełny łańcuch certyfikatów często wychodzi właśnie tam.
Skorzystaj z zewnętrznego testera konfiguracji TLS, który pokaże włączone protokoły, łańcuch certyfikatów i obecność HSTS.

CERT Polska przypomina, że klient łączący się ze stroną weryfikuje nazwę certyfikatu oraz pełny łańcuch. Jeśli którykolwiek z tych elementów nie gra, część Twoich odwiedzających zobaczy ostrzeżenie, nawet jeśli Ty go nie widzisz na swoim komputerze.

Moje podejście do SSL w projektach

W każdym projekcie, który realizuję, HTTPS jest punktem wyjścia, a nie dodatkiem wycenianym osobno. Ponieważ projektuję, koduję i optymalizuję strony pod SEO sam, konfiguracja certyfikatu, przekierowań i nagłówków bezpieczeństwa odbywa się w tym samym procesie co budowa strony. Nie ma momentu, w którym grafik oddaje projekt programiście, a programista zostawia serwer „komuś od hostingu”.

Z audytów wiem, że najwięcej problemów nie wynika z braku certyfikatu, tylko z niedokończonego wdrożenia: brakującej subdomeny, odwołań do http:// w treści, odnawiania, o którym nikt nie pamięta. Dlatego przed oddaniem strony sprawdzam całą listę z tabeli powyżej, a po wdrożeniu w ramach wsparcia pilnuję, żeby certyfikat odnawiał się automatycznie.

Uważam też, że o SSL trzeba mówić uczciwie. To nie jest magiczny przycisk „wyższa pozycja w Google” ani pełna ochrona przed włamaniem. To fundament, bez którego reszta, czyli szybkość, treść, dostępność i konwersja, nie ma na czym stać.

— Marcin

Strona, która od pierwszego dnia działa na HTTPS

Jeśli planujesz nową stronę firmową, sklep albo aplikację webową, albo podejrzewasz, że obecne wdrożenie HTTPS ma luki, mogę się tym zająć kompleksowo. Projektuję i wdrażam strony internetowe dla firm i sklepy internetowe bez szablonów, z poprawną konfiguracją certyfikatu, przekierowań i technicznego SEO od pierwszego dnia.

Marcinrezulak

Napisz, czego potrzebujesz. Odpowiem konkretnie, co trzeba zrobić i w jakiej kolejności.

FAQ

Czy strona-wizytówka bez formularza też potrzebuje SSL?

Tak. Nawet bez formularza przeglądarki ostrzegają o połączeniu bez szyfrowania, co obniża zaufanie odwiedzających. HTTPS chroni też przed podmianą treści strony w niezabezpieczonych sieciach. Przy bezpłatnych certyfikatach DV nie ma żadnego powodu, żeby z niego rezygnować.

Czy darmowy certyfikat SSL wystarczy dla sklepu internetowego?

W większości przypadków tak, bo poziom szyfrowania w certyfikacie DV jest taki sam jak w płatnych typach. O bezpieczeństwie decyduje konfiguracja: aktualne protokoły TLS, pełny łańcuch, HSTS i automatyczne odnawianie. Płatny certyfikat OV lub EV ma sens głównie wtedy, gdy wymaga tego partner biznesowy lub operator płatności.

Czy przejście na HTTPS obniży moje pozycje w Google?

Prawidłowo przeprowadzona migracja nie powinna trwale obniżyć pozycji, choć przez krótki czas Google może przeliczać adresy. Spadki wynikają zwykle z błędów: braku przekierowań 301, starej mapy witryny lub adresów kanonicznych wskazujących wersję http://. Po migracji obserwuj raporty indeksowania w Google Search Console.

Co się stanie, gdy certyfikat SSL wygaśnie?

Odwiedzający zobaczą pełnoekranowe ostrzeżenie, a większość z nich opuści stronę. Jeśli masz włączony HSTS, przeglądarki w ogóle nie pozwolą wejść na stronę bez ważnego certyfikatu. Dlatego automatyczne odnawianie i alerty o wygaśnięciu to obowiązkowy element każdego wdrożenia.

Kto powinien odpowiadać za certyfikat: hosting czy wykonawca strony?

To zależy od umowy, dlatego warto ją zapisać wprost. Często hosting dostarcza certyfikat, a wykonawca odpowiada za poprawną konfigurację strony, przekierowania i brak mieszanej treści. Najważniejsze, żeby jedna konkretna osoba wiedziała, że to jej zadanie.