Certyfikat SSL na stronie firmowej: po co go masz i co grozi bez niego

Wpisz adres swojej strony w Chrome i spójrz na pasek adresu. Kłódka jest? Świetnie, ale to dopiero połowa sukcesu, bo certyfikat mógł zostać wdrożony byle jak i po cichu psuć ci pozycje oraz konwersje. A jeśli zamiast kłódki widzisz napis "Niezabezpieczona", to każdy klient, który trafia na twoją stronę, dostaje od Google jasny komunikat: tej firmie lepiej nie ufać.

Przez 13 lat pracy przy stronach i sklepach widziałem chyba każdy możliwy scenariusz: od stron bez SSL w 2025 roku, przez certyfikaty wygasające w środku kampanii reklamowej, po migracje na HTTPS robione na skróty, które kosztowały klienta połowę ruchu. W tym artykule pokażę ci, po co właściwie jest certyfikat SSL na stronie internetowej, co konkretnie grozi bez niego, ile to kosztuje w Polsce i jak poprawnie skonfigurować go na WordPressie. Na końcu znajdziesz też harmonogram zmian, które od marca 2026 wywrócą sposób zarządzania certyfikatami.

Czym właściwie jest certyfikat SSL i co robi na stronie

Certyfikat SSL to cyfrowe poświadczenie, które szyfruje połączenie między przeglądarką odwiedzającego a serwerem twojej strony. Wszystko, co użytkownik wpisuje w formularze (imię, e-mail, telefon, dane do przelewu), wędruje przez internet w postaci zaszyfrowanej, a nie jawnym tekstem. Po stronie technicznej od lat używa się protokołu TLS, ale nazwa SSL tak się przyjęła, że posługuje się nią cała branża, łącznie z hostingami.

Efekt widzisz w pasku adresu: strona działa pod adresem https zamiast http, a przeglądarka pokazuje kłódkę. To dziś absolutny standard. Według danych W3Techs pod koniec 2025 roku ponad 85% wszystkich stron www działa już na HTTPS, a Let's Encrypt, największy darmowy wystawca certyfikatów, we wrześniu 2025 po raz pierwszy wystawił ponad 10 milionów certyfikatów w jeden dzień.

Certyfikat robi dwie rzeczy naraz. Po pierwsze szyfruje transmisję, więc nikt po drodze (np. na otwartym Wi-Fi w kawiarni) nie podejrzy danych z formularza. Po drugie potwierdza, że domena należy do tego, kto się nią posługuje, co utrudnia podszywanie się pod twoją firmę. Dla strony wizytówki, strony usługowej i sklepu to dokładnie ten sam mechanizm, różni się tylko poziom weryfikacji, o czym za chwilę.

Z mojego doświadczenia: klienci często traktują SSL jak techniczny detal dla informatyków. Tymczasem to jeden z nielicznych elementów strony, który widzi dosłownie każdy odwiedzający, zanim jeszcze przeczyta pierwszy nagłówek.

Co grozi stronie firmowej bez certyfikatu SSL

Bez certyfikatu SSL strona firmowa traci klientów, zanim ci cokolwiek przeczytają. Od lipca 2018 roku (Chrome 68) Google oznacza wszystkie strony działające po http etykietą "Niezabezpieczona" bezpośrednio w pasku adresu. Firefox i Edge robią to samo. Gdy użytkownik zacznie wpisywać cokolwiek w formularz na takiej stronie, ostrzeżenie robi się jeszcze bardziej nachalne.

Konsekwencje są bardzo praktyczne:

• Spadek zaufania: napis o braku bezpieczeństwa obok nazwy twojej firmy działa jak antyreklama. Według raportu GUS 67,5% przedsiębiorstw w Polsce ma własną stronę internetową, więc klient po prostu przejdzie do konkurencji, która kłódkę ma.
• Formularze przestają spełniać swoją rolę: część osób nie zostawi numeru telefonu na stronie z ostrzeżeniem i trudno się dziwić.
• Brak integracji z płatnościami: operatorzy tacy jak Przelewy24 czy bramki BLIK wymagają HTTPS, bez tego nie podepniesz płatności w sklepie.
• Problemy z nowymi funkcjami przeglądarek: geolokalizacja, powiadomienia push czy autouzupełnianie danych działają wyłącznie na HTTPS.

Czy zdarzyło ci się kiedyś trafić na taką blokadę na stronie firmy, której szukałeś? Mnie tak, i przyznam, że nawet jako technicznej osobie zapala mi się wtedy czerwona lampka.

Czy certyfikat SSL wpływa na pozycje w Google

Tak, HTTPS jest oficjalnym sygnałem rankingowym Google od sierpnia 2014 roku. Google ogłosiło to wprost na blogu Search Central: strony szyfrowane dostają lekki bonus w rankingu. Słowo klucz to "lekki". Sam certyfikat nie wyniesie cię na pierwszą stronę wyników, bo treść, linki i techniczna jakość strony ważą znacznie więcej.

Prawdziwy wpływ SSL na SEO działa w drugą stronę: brak certyfikatu albo źle przeprowadzona migracja potrafią realnie zaszkodzić. Najczęstsze scenariusze, które widuję w audytach:

• Strona działa równolegle pod http i https bez przekierowania 301. Google widzi dwie kopie tej samej treści i samo wybiera, którą indeksować. Czasem wybiera źle.
• Po migracji w bazie zostały stare adresy http w linkach wewnętrznych, więc każdy klik użytkownika i robota przechodzi przez przekierowanie. To spowalnia crawl i rozmywa sygnały.
• Mixed content: strona jest na https, ale ładuje grafiki czy skrypty po http. Przeglądarka blokuje takie zasoby albo zdejmuje kłódkę, a Google traktuje stronę jako częściowo niezabezpieczoną.

Jest jeszcze aspekt analityki. Gdy użytkownik przechodzi ze strony https na stronę http, przeglądarka ucina informację o źródle wejścia. Strony bez SSL widzą więc zaniżony ruch z poleceń, bo część wizyt ląduje w GA4 jako direct. Po wdrożeniu HTTPS dane w raportach robią się po prostu uczciwsze. Więcej o technicznych aspektach SEO piszę regularnie na blogu, bo to temat rzeka.

Certyfikat SSL a RODO: formularz kontaktowy to już dane osobowe

RODO nie wymienia certyfikatu SSL z nazwy, ale art. 32 wprost wskazuje szyfrowanie jako jeden ze środków technicznych ochrony danych osobowych. A teraz proste pytanie: czy twoja strona zbiera imię, adres e-mail albo numer telefonu? Jeśli ma formularz kontaktowy, zapis do newslettera albo koszyk, to odpowiedź brzmi tak, i jesteś administratorem tych danych.

Przesyłanie danych z formularza jawnym tekstem przez http to podręcznikowy przykład braku adekwatnych środków technicznych. W razie skargi klienta do UODO albo wycieku danych bardzo trudno będzie się z tego wybronić, bo koszt zabezpieczenia wynosi dokładnie 0 zł (Let's Encrypt) i kilkanaście minut pracy. Górne widełki kar z RODO to 20 mln euro lub 4% rocznego obrotu, w zależności od tego, która kwota jest wyższa. Nikt nie dostanie takiej kary za sam brak SSL, ale przy postępowaniu po incydencie brak szyfrowania zawsze działa na niekorzyść firmy.

Dochodzi do tego kwestia powierzenia przetwarzania. Jeśli formularz wysyła dane do systemu CRM albo narzędzia mailingowego, transmisja między stroną a tymi usługami też powinna być szyfrowana. W praktyce każda licząca się integracja wymaga dziś HTTPS po obu stronach, więc strona bez certyfikatu wypada z gry także technicznie.

U mnie w projektach SSL jest punktem zerowym każdej checklisty RODO: zanim w ogóle rozmawiamy o polityce prywatności i checkboxach zgód, strona musi szyfrować transmisję. Inaczej cała reszta dokumentów to fikcja na papierze.

Darmowy Let's Encrypt czy płatny certyfikat: DV, OV i EV w praktyce

Dla typowej strony firmowej darmowy Let's Encrypt jest w pełni wystarczający, a płatne certyfikaty kupuje się dla weryfikacji firmy, nie dla lepszego szyfrowania. To zdanie oszczędzi ci kilkuset złotych rocznie, więc rozwinę.

Certyfikaty dzielą się według poziomu walidacji. DV (Domain Validation) potwierdza tylko kontrolę nad domeną, OV (Organization Validation) dodatkowo istnienie firmy, a EV (Extended Validation) pełną weryfikację prawną organizacji. Siła szyfrowania jest we wszystkich identyczna. Co istotne, od 2019 roku przeglądarki nie wyróżniają już certyfikatów EV zielonym paskiem z nazwą firmy, więc przeciętny użytkownik nie odróżni EV od darmowego DV.

Ceny pochodzą z aktualnych cenników polskich dostawców (m.in. cyber_Folks sprzedaje płatny DV za 20 zł netto w pierwszym roku, z odnowieniem 169 zł). Hostingi takie jak LH.pl czy cyber_Folks mają Let's Encrypt w cenie każdego pakietu, z automatycznym odnawianiem.

Kiedy płacić? Moim zdaniem OV lub EV ma sens w finansach, ubezpieczeniach i dużym e-commerce, gdzie dział prawny lub partner biznesowy wymaga formalnej weryfikacji podmiotu. Dla pozostałych 95% firm różnica jest niewidoczna, a budżet lepiej przeznaczyć na treść albo szybkość strony. Orientacyjne koszty całych wdrożeń zebrałem w cenniku.

Jak poprawnie skonfigurować SSL na WordPressie

Poprawna konfiguracja SSL na WordPressie to znacznie więcej niż kliknięcie "aktywuj certyfikat" w panelu hostingu. WordPress napędza ok. 42-43% wszystkich stron www, więc procedura jest dobrze przetarta, ale właśnie przy WordPressie najczęściej widzę wpadki: certyfikat działa, a strona i tak nie ma kłódki, bo w bazie siedzą setki starych adresów http.

> W zeszłym roku przejmowałem stronę firmy usługowej z Poznania po migracji na HTTPS zrobionej na skróty. Certyfikat niby działał, ale w bazie zostało ponad 1200 adresów http, kłódki nie było na żadnej podstronie, a formularz ofertowy wysyłał ostrzeżenie zamiast zachęty. Po pełnym search-replace, domknięciu przekierowań 301 i poprawie mixed content liczba zapytań z formularza wróciła do wcześniejszego poziomu w trzy tygodnie.

Najczęstszy błąd? Podmiana adresów wtyczką typu "Really Simple SSL" bez sprzątania w bazie. Wtyczka przepisuje adresy w locie przy każdym wyświetleniu strony, co maskuje problem i dokłada milisekundy do czasu ładowania. Działa jako plaster, ale porządna migracja podmienia adresy raz, na poziomie bazy danych. Jeśli budujesz stronę od zera, temat masz z głowy: w moich wdrożeniach stron internetowych HTTPS, przekierowania i HSTS są konfigurowane przed startem, a nie łatane po fakcie.

Certyfikaty będą ważne coraz krócej: harmonogram zmian od 2026

Od 15 marca 2026 maksymalna ważność certyfikatu SSL spada z 398 do 200 dni i to dopiero początek. W kwietniu 2025 CA/Browser Forum (organizacja zrzeszająca wystawców certyfikatów i producentów przeglądarek) jednogłośnie przyjęło propozycję Apple, która stopniowo skraca życie certyfikatów aż do 47 dni w 2029 roku.

Pełny harmonogram wygląda tak: do 15 marca 2026 obowiązuje limit 398 dni, potem 200 dni, od 15 marca 2027 już tylko 100 dni, a od 15 marca 2029 wspomniane 47 dni. Dodatkowo skraca się okres, przez który można ponownie wykorzystać walidację domeny, docelowo do 10 dni. Cel jest sensowny: krótszy certyfikat to krótsze okno na nadużycia po ewentualnej kradzieży klucza.

Co to oznacza dla właściciela strony firmowej? Koniec epoki "kupiłem certyfikat na rok i mam spokój". Ręczne odnawianie co 200, a potem co 100 dni to proszenie się o wpadkę, więc automatyzacja przestaje być wygodą, a staje się wymogiem. Let's Encrypt jest tu paradoksalnie najlepiej przygotowany, bo jego certyfikaty od zawsze żyją 90 dni i odnawiają się same. Płatni wystawcy dopiero przestawiają klientów na automatyczne protokoły typu ACME.

Od czego zacząć, jeśli twoja strona wciąż działa po HTTP

Zacznij od pięciominutowego sprawdzenia: wejdź na swoją stronę, kliknij ikonę przy pasku adresu i zobacz, czy certyfikat jest ważny, a potem wpisz adres z http:// na początku i sprawdź, czy następuje przekierowanie na https. Jeśli cokolwiek tu zgrzyta, masz konkretne zadanie na początek roku. Większość hostingów w Polsce aktywuje darmowy Let's Encrypt jednym kliknięciem, a pełna migracja WordPressa według checklisty z tego artykułu to dla wprawnej osoby godzina, maksymalnie dwie pracy.

Certyfikat SSL nie jest już przewagą konkurencyjną, tylko biletem wstępu: bez niego tracisz zaufanie klientów, pozycje w Google i zgodność z RODO, a od 2026 roku dochodzi jeszcze obowiązek sprawnej automatyzacji odnowień. Dobra wiadomość jest taka, że to jeden z najtańszych problemów do rozwiązania w całym firmowym IT. Jeśli nie chcesz grzebać w bazie danych i przekierowaniach samodzielnie, albo po prostu wolisz mieć pewność, że migracja nie położy ci ruchu, napisz do mnie przez formularz na dole strony. Sprawdzę twoją konfigurację i powiem wprost, co wymaga poprawy.