Certyfikat SSL - dlaczego jest potrzebny

Krótka odpowiedź: certyfikat SSL jest potrzebny, bo szyfruje dane przesyłane między przeglądarką a stroną, chroni informacje klientów (dane z formularzy, hasła, płatności), buduje zaufanie przez kłódkę i adres https, jest wymagany przez RODO oraz stanowi czynnik rankingowy w Google. Strona bez SSL jest oznaczana przez przeglądarki jako "niebezpieczna", co odstrasza klientów i obniża pozycję w wyszukiwarce. Dziś certyfikat SSL to absolutna podstawa każdej strony firmowej, a nie opcjonalny dodatek.

Jeszcze kilka lat temu SSL kojarzył się głównie ze sklepami i bankami. Obecnie przeglądarki wymagają go od każdej strony, a jego brak natychmiast widać jako ostrzeżenie o braku bezpieczeństwa. Poniżej wyjaśniamy, co dokładnie robi certyfikat SSL, dlaczego jest niezbędny i jak upewnić się, że Twoja strona go ma.

Co to jest certyfikat SSL?

SSL (a dokładniej jego nowsza wersja TLS) to protokół, który szyfruje połączenie między przeglądarką użytkownika a serwerem strony. Dzięki niemu dane przesyłane przez formularze, logowania czy płatności są zakodowane i nie da się ich podejrzeć po drodze. Poznasz stronę z SSL po dwóch rzeczach: adres zaczyna się od "https" (nie "http"), a w pasku przeglądarki widać symbol kłódki.

Bez SSL wszystko, co użytkownik wpisze na stronie, wędruje przez internet jako zwykły, czytelny tekst. Osoba podsłuchująca sieć, na przykład w otwartej sieci Wi-Fi, może przechwycić te dane. Certyfikat SSL zamyka tę lukę.

Warto rozróżnić trzy typy certyfikatów, które spotkasz na rynku. Certyfikat DV (Domain Validation) potwierdza tylko, że domena należy do właściciela strony i jest wydawany automatycznie w kilka minut, także za darmo. Certyfikat OV (Organization Validation) dodatkowo weryfikuje istnienie firmy. Certyfikat EV (Extended Validation) to najwyższy poziom sprawdzenia, kiedyś pokazywał zieloną nazwę firmy w pasku adresu. Dla typowej strony firmowej certyfikat DV od Let's Encrypt daje dokładnie to samo szyfrowanie co drogie warianty, różnica dotyczy jedynie zakresu weryfikacji tożsamości, a nie siły ochrony danych.

Dlaczego certyfikat SSL jest potrzebny na stronie firmowej?

1. Chroni dane Twoich klientów

Nawet zwykła strona firmowa ma formularz kontaktowy, przez który klienci przesyłają swoje imię, telefon czy adres e-mail. SSL sprawia, że te dane są szyfrowane. Jeśli prowadzisz sklep, to już absolutna konieczność, bo w grę wchodzą dane do płatności. O sklepach więcej piszemy w tekście sklep internetowy - od czego zacząć.

2. Buduje zaufanie

Kłódka i "https" to sygnał dla klienta, że strona jest bezpieczna. Odwrotnie działa ostrzeżenie "Połączenie nie jest bezpieczne", które przeglądarki pokazują na stronach bez SSL. Taki komunikat skutecznie odstrasza i sprawia, że klient wychodzi, zanim zobaczy ofertę. To bezpośrednio obniża liczbę zapytań, o czym piszemy w artykule jak zwiększyć konwersję na stronie.

3. Jest wymagany przez RODO

Skoro przetwarzasz dane osobowe klientów, na przykład przez formularz kontaktowy, prawo wymaga odpowiednich zabezpieczeń technicznych. Szyfrowanie transmisji certyfikatem SSL to jeden z podstawowych obowiązków. Więcej o obowiązkach prawnych piszemy w tekście RODO na stronie firmowej - co musisz mieć.

4. Wpływa na pozycję w Google

Google oficjalnie potwierdziło, że https jest czynnikiem rankingowym. Strony z SSL mają lekką przewagę w wynikach wyszukiwania, a strony bez SSL są dodatkowo karane utratą zaufania użytkowników. To element podstawowego SEO, o którym piszemy w tekście SEO dla małej firmy - od czego zacząć.

Co się dzieje, gdy strona nie ma SSL?

Jak przeglądarka pokazuje brak SSL krok po kroku

Warto wiedzieć, co dokładnie widzi klient, gdy trafia na stronę bez certyfikatu, bo to wyjaśnia, dlaczego brak SSL tak mocno obniża liczbę zapytań. Scenariusz wygląda zwykle tak:

1. Klient klika w link do Twojej strony z Google lub z wizytówki.
2. Zamiast strony przeglądarka pokazuje pełnoekranowe ostrzeżenie "Twoje połączenie nie jest prywatne" albo w pasku adresu napis "Nie zabezpieczone".
3. Aby wejść dalej, użytkownik musi kliknąć "Zaawansowane" i potwierdzić, że chce kontynuować mimo ryzyka.
4. Większość klientów w tym momencie się wycofuje, bo taki komunikat kojarzy się z oszustwem lub wirusem.

Innymi słowy, brak SSL nie oznacza tylko braku kłódki. Oznacza aktywne ostrzeżenie, które przeglądarka wyświetla klientowi i które w praktyce blokuje mu drogę do Twojej oferty. To jedna z najszybszych metod na utratę potencjalnego klienta, zanim w ogóle zobaczy, co sprzedajesz.

SSL a mieszana treść, czyli częsty ukryty problem

Sam zakup certyfikatu to nie wszystko. Częstym błędem jest tak zwana mieszana treść (mixed content). Dzieje się tak, gdy strona ładuje się przez https, ale niektóre elementy, na przykład zdjęcia albo skrypty, wciąż wskazują na stary adres http. Wtedy kłódka może zniknąć lub pokazać ostrzeżenie, mimo że certyfikat jest zainstalowany. Dlatego przy wdrażaniu SSL trzeba przejrzeć całą stronę i upewnić się, że wszystkie zasoby ładują się przez bezpieczne połączenie oraz że stare adresy http przekierowują na https. To zadanie techniczne, które dobry wykonawca robi automatycznie przy publikacji.

Ile kosztuje certyfikat SSL?

Dobra wiadomość: dla większości stron firmowych certyfikat SSL jest dziś darmowy. Rozwiązanie Let's Encrypt zapewnia szyfrowanie bez żadnej opłaty i jest w pełni akceptowane przez wszystkie przeglądarki. Płatne certyfikaty (z dodatkową weryfikacją firmy) mają sens głównie dla dużych sklepów, banków czy instytucji, które chcą maksymalnego poziomu zaufania. Dla typowej firmy usługowej darmowy certyfikat w zupełności wystarczy.

Ważne jest tylko, aby certyfikat był poprawnie zainstalowany, automatycznie odnawiany (Let's Encrypt wygasa co trzy miesiące) i obejmował wszystkie wersje adresu. Przy stronach, które robimy, SSL jest standardem wliczonym w usługę, więc nie musisz się tym martwić. Zobacz nasz cennik stron internetowych, w którym bezpieczeństwo jest domyślne.

Jak sprawdzić, czy strona ma SSL?

To proste. Wejdź na swoją stronę i spójrz na pasek adresu w przeglądarce:

• Jest kłódka i "https" - certyfikat działa poprawnie.
• Jest napis "Nie zabezpieczone" lub przekreślone "https" - certyfikatu brakuje albo jest źle skonfigurowany.
• Klikając w kłódkę - zobaczysz szczegóły certyfikatu i datę jego ważności.

Jeśli Twoja strona pokazuje ostrzeżenie o braku bezpieczeństwa, to problem, który trzeba pilnie naprawić, bo każdego dnia tracisz przez niego klientów i pozycję w Google. Napisz do nas przez formularz kontaktowy, a sprawdzimy i poprawimy zabezpieczenia Twojej strony.

Najczęstsze pytania

Czy każda strona firmowa musi mieć certyfikat SSL?

Tak. Nawet prosta wizytówka z formularzem kontaktowym powinna mieć SSL, bo przetwarza dane klientów i podlega RODO. Bez certyfikatu przeglądarki oznaczają stronę jako niebezpieczną, co odstrasza klientów i obniża pozycję w Google. Dziś SSL to standard każdej strony.

Ile kosztuje certyfikat SSL?

Dla większości stron firmowych certyfikat SSL jest darmowy dzięki Let's Encrypt i w pełni akceptowany przez przeglądarki. Płatne certyfikaty z rozszerzoną weryfikacją mają sens głównie dla dużych sklepów i instytucji. Typowej firmie usługowej wystarczy darmowy certyfikat.

Jak sprawdzić, czy moja strona ma SSL?

Wejdź na stronę i spójrz na pasek adresu. Jeśli widzisz kłódkę i adres zaczynający się od "https", certyfikat działa. Jeśli widzisz napis "Nie zabezpieczone", certyfikatu brakuje lub jest źle skonfigurowany i trzeba to naprawić, aby nie tracić klientów i pozycji w Google.

Co to jest mieszana treść i dlaczego psuje kłódkę?

Mieszana treść pojawia się, gdy strona działa przez https, ale część jej elementów, na przykład zdjęcia lub skrypty, wciąż ładuje się przez niezabezpieczone http. Wtedy przeglądarka może ukryć kłódkę lub pokazać ostrzeżenie, mimo że certyfikat jest zainstalowany. Rozwiązaniem jest zmiana wszystkich adresów zasobów na https i ustawienie przekierowań ze starego adresu.

Czy darmowy certyfikat od Let's Encrypt jest bezpieczny?

Tak. Certyfikat Let's Encrypt zapewnia dokładnie ten sam poziom szyfrowania co płatne odpowiedniki typu DV i jest akceptowany przez wszystkie przeglądarki. Różnica dotyczy tylko dodatkowej weryfikacji firmy przy certyfikatach OV i EV, która ma znaczenie głównie dla banków i dużych sklepów, a nie dla typowej strony firmowej.