Certyfikat SSL — czy darmowy wystarczy i kiedy trzeba dopłacić

Krótka odpowiedź na pytanie, czy certyfikat SSL jest Wam potrzebny: tak — i prawie na pewno wystarczy darmowy.

Dłuższa odpowiedź jest potrzebna, bo pytanie „który certyfikat wybrać" zwykle zadaje się osobie, która na certyfikatach zarabia. Poniżej to samo, tylko bez tego konfliktu interesów — z trzema faktami, które da się sprawdzić u źródła, i jednym terminem, który wypada w przyszłym miesiącu.

Co to jest certyfikat SSL — w dwóch akapitach

SSL i TLS to ten sam mechanizm pod dwiema nazwami. SSL był pierwszy i wycofano go lata temu; TLS jest jego następcą i to on działa w każdym dzisiejszym połączeniu. Nazwa „SSL" została w języku branży i w nazwach produktów, więc kupując „certyfikat SSL", kupujesz certyfikat TLS. To rozróżnienie nie ma znaczenia praktycznego i wspominamy o nim tylko po to, żeby dwie nazwy w ofercie nie wyglądały na dwa różne produkty.

HTTPS to zwykłe połączenie ze stroną, opakowane w to szyfrowanie. Bez niego wszystko, co ktoś wpisze w formularz — nazwisko, telefon, treść zapytania — leci przez sieć w postaci, którą da się odczytać po drodze. Certyfikat pełni przy tym dwie role naraz: dostarcza klucze do szyfrowania i potwierdza, że serwer po drugiej stronie jest tym, za kogo się podaje. Ta druga rola jest powodem, dla którego certyfikaty w ogóle ktoś wydaje, zamiast żeby każdy generował je sobie sam.

Co się zmienia w 2026 roku — i dlaczego to nie może poczekać

Dwie zmiany dzieją się równolegle. Pierwsza jest widoczna dla użytkownika, druga dla tego, kto stronę utrzymuje — i to ta druga zaskakuje częściej.

Październik 2026 — Chrome przestaje wpuszczać po HTTP bez pytania

Chrome przestaje traktować brak HTTPS jako drobiazg. Google opisał to na swoim blogu i harmonogram jest dwuetapowy:

• Kwiecień 2026, Chrome 147 — ustawienie „Always Use Secure Connections" włączone dla użytkowników Enhanced Safe Browsing, czyli ponad miliarda osób. To już się wydarzyło.
• Październik 2026, Chrome 154 — włączone domyślnie dla wszystkich. Przeglądarka poprosi użytkownika o zgodę przed pierwszym wejściem na każdą publiczną stronę bez HTTPS.

Praktycznie znaczy to jedno: strona bez certyfikatu przestanie się po prostu otwierać. Zamiast niej użytkownik zobaczy pytanie, czy na pewno chce tam wejść — a to pytanie zadaje się raz i odpowiada „nie".

Warto zauważyć, czego ta zmiana nie dotyczy: sieci lokalnych i adresów prywatnych, które nie mają jak uzyskać certyfikatu. Wariant, który Google włącza, dotyczy stron publicznych.

Ważność certyfikatów już się skróciła

To jest część, którą przegapia większość poradników, bo dzieje się cicho.

W kwietniu 2025 CA/Browser Forum przyjęło Ballot SC-081v3 — jednogłośnie, przy poparciu Apple, Google, Mozilli i Microsoftu. Maksymalna ważność publicznie zaufanego certyfikatu skraca się w trzech krokach:

Pierwszy próg już obowiązuje. To znaczy, że model „kupujemy certyfikat na rok i wgrywamy go ręcznie" przestał działać w marcu — nie za trzy lata, tylko pół roku temu.

Wniosek jest praktyczny i dotyczy każdego, kto ma stronę: automatyczne odnawianie przestało być wygodą, a stało się warunkiem ciągłości działania. Certyfikat odnawiany ręcznie co 200 dni to dwa razy w roku okazja, żeby ktoś zapomniał — a strona z wygasłym certyfikatem nie wyświetla się wcale, tylko pokazuje pełnoekranowe ostrzeżenie.

Darmowe certyfikaty od Let's Encrypt odnawiają się automatycznie protokołem ACME od początku. Płatne — zależy od dostawcy i to jest dziś ważniejsze pytanie niż cena.

Który certyfikat wybrać — i czego kłódka nie mówi

Trzy rodzaje certyfikatów różnią się wyłącznie tym, co dostawca sprawdza przed wydaniem — nie siłą szyfrowania. To jest pierwsza rzecz, którą warto wiedzieć, bo bywa sprzedawana odwrotnie:

• DV (Domain Validation) — sprawdza, że kontrolujesz domenę. Wydawany automatycznie, w minuty, za darmo.
• OV (Organization Validation) — dodatkowo sprawdza, że firma istnieje. Płatny, wydawany w dni.
• EV (Extended Validation) — rozszerzona weryfikacja podmiotu. Najdroższy.

Szyfrowanie jest w każdym z nich identyczne. Różnica dotyczy tego, co jest zapisane w certyfikacie, a nie tego, jak dobrze chroni dane.

Certyfikat wildcard — kiedy naprawdę jest potrzebny

To pytanie wraca częściej niż pytanie o EV, więc warto je rozstrzygnąć osobno.

Wildcard obejmuje wszystkie subdomeny jednego poziomu naraz — sklep.firma.pl, panel.firma.pl, app.firma.pl — zamiast osobnego certyfikatu dla każdej. Nie obejmuje natomiast poziomu głębszego: certyfikat na *.firma.pl nie zabezpieczy test.sklep.firma.pl.

Kiedy ma sens: gdy subdomen jest kilka i przybywa ich w sposób nieprzewidywalny — bo wtedy każda nowa działa od razu, bez pamiętania o wystawieniu certyfikatu. Typowo dotyczy to firm, które uruchamiają osobne adresy dla sklepu, panelu klienta czy środowiska testowego.

Kiedy nie ma sensu: przy jednej stronie z www. Ten przypadek obsługuje zwykły certyfikat wystawiony na dwie nazwy — firma.pl i www.firma.pl — i tak wystawia go Let's Encrypt automatycznie. Kupowanie do tego wildcarda to wydatek bez żadnego efektu.

Warto wiedzieć, że wildcard bywa dostępny za darmo: Let's Encrypt wydaje je od 2018 roku, tyle że weryfikacja idzie wtedy przez wpis w DNS zamiast przez plik na serwerze. Nie każdy hosting to obsługuje w panelu — i to jest jedyny realny powód, dla którego w tym przypadku czasem kupuje się certyfikat płatny.

Mit, za który wciąż się płaci

Certyfikaty EV sprzedawano argumentem zielonego paska z nazwą firmy w przeglądarce. Ten pasek nie istnieje od 2019 roku. Chrome usunął nazwę firmy z paska adresu w wersji 77, Firefox w wersji 70, a Google uzasadnił to wprost: zespół bezpieczeństwa uznał, że interfejs EV nie chroni użytkowników w zamierzony sposób, bo badania pokazały, że ludzie nie rozumieją, co oznaczają różne kolory paska.

Nazwę firmy nadal da się zobaczyć — po kliknięciu w kłódkę, czyli w miejscu, do którego nie zagląda nikt poza specjalistami.

Kupowanie certyfikatu EV „dla prestiżu" albo „żeby budować zaufanie" jest więc wydatkiem na coś, czego klient nie zobaczy. Zostaje jedyna realna różnica: suma gwarancyjna w polisie dostawcy — i to jest argument, który albo ma dla Was znaczenie, albo nie, ale trzeba go nazwać po imieniu.

Kłódka nie oznacza, że stronie można ufać

To jest drugi mit z tej samej rodziny, tylko groźniejszy — bo dotyczy nie tego, co kupujecie, ale tego, czego uczycie swoich klientów.

Kłódka w pasku adresu mówi jedno: połączenie z tym serwerem jest szyfrowane. Nie mówi, kto jest po drugiej stronie, czy firma istnieje, ani czy sklep wyśle zamówiony towar. Certyfikat DV potwierdza wyłącznie kontrolę nad domeną — a kontrolę nad domeną ma też każdy oszust, który tę domenę zarejestrował dziesięć minut wcześniej.

Google opisał to wprost w notatce o zmianie ikony kłódki i podał własne badania:

• W badaniu z 2021 roku tylko 11% uczestników poprawnie rozumiało, co dokładnie oznacza kłódka.
• „Niemal wszystkie strony phishingowe używają HTTPS, więc również pokazują kłódkę" — to cytat z tego samego tekstu.
• Nieporozumienie jest na tyle powszechne, że osobne ostrzeżenia publikuje wiele instytucji, w tym FBI.

Skutek jest taki, że we wrześniu 2023 roku, w Chrome 117, kłódka zniknęła i zastąpiła ją neutralna ikona ustawień. Google uzasadnił to jednym zdaniem: nowa ikona nie sugeruje „godny zaufania". HTTP nadal jest oznaczane jako niezabezpieczone — zmieniło się tylko to, że szyfrowanie przestało być nagradzane odznaką.

Dla firmy wniosek jest dwojaki. Po pierwsze, HTTPS to dziś warunek wejścia, a nie wyróżnik — nie ma sensu chwalić się nim na stronie. Po drugie, jeśli w komunikacji do klientów pojawia się zdanie „sprawdź kłódkę, żeby wiedzieć, że strona jest bezpieczna", to jest ono nieprawdziwe i warto je wymienić na coś, co faktycznie chroni: sprawdzanie adresu domeny.

Ile kosztuje certyfikat SSL — i kiedy darmowy wystarcza

Najczęściej zero. Let's Encrypt wydaje certyfikaty DV bezpłatnie, automatycznie i bezterminowo; obsługuje je większość hostingów i wszystkie sensowne panele zarządzania.

Płatny certyfikat kosztuje od kilkudziesięciu do kilkuset złotych rocznie, a wersje EV — wielokrotnie więcej. Ta kwota kupuje weryfikację podmiotu i polisę, nie lepsze bezpieczeństwo.

Pułapka, którą warto sprawdzić u swojego hostingu

Darmowy certyfikat bywa darmowy tylko z nazwy. Praktyki, na które warto zwrócić uwagę przy tanich pakietach:

• Opłata za „obsługę instalacji" darmowego certyfikatu, pobierana co roku.
• Wyłączone automatyczne odnawianie w tańszych pakietach, z opcją dopłaty za włączenie.
• Zablokowana możliwość wgrania własnego certyfikatu, co wymusza zakup autorskiego produktu dostawcy.

Żadna z tych rzeczy nie jest nielegalna i żadna nie musi Was dotyczyć — ale wszystkie są na tyle częste, że warto zadać hostingowi jedno pytanie przed przedłużeniem umowy: czy Let's Encrypt jest dostępny, czy odnawia się sam i czy nie ma za to dopłaty.

Przy skracającej się ważności certyfikatów pytanie o automatyczne odnawianie przestaje być techniczną ciekawostką. W 2029 ręczne odnawianie oznaczałoby tę czynność osiem razy w roku.

Za co się więc płaci, jeśli nie za sam certyfikat

Skoro certyfikat bywa darmowy, warto powiedzieć wprost, za co w takim razie płaci się nam i firmom takim jak nasza — bo to nie jest ta sama rzecz.

Nie płacicie za litery w certyfikacie. Płacicie za to, żeby nikt nigdy nie zobaczył ostrzeżenia. Darmowy certyfikat odnawia się automatycznie — dopóki skrypt odnawiający działa, serwer odpowiada, a domena wskazuje tam, gdzie powinna. Gdy któryś z tych warunków przestanie być spełniony, certyfikat wygasa po cichu i pierwszym sygnałem bywa telefon od klienta, który nie może wejść na stronę.

Przy ważności skróconej do 200 dni takich okazji jest dwa razy w roku, a od 2027 prawie cztery. Usługa, za którą warto zapłacić, to monitoring terminu, sprawdzenie po każdym odnowieniu i reakcja zanim zobaczy to ktokolwiek z zewnątrz. Certyfikat jest darmowy; czyjaś uwaga nie jest.

Szyfrowanie a dane klientów — co mówi przepis, a czego nie

Formularz kontaktowy zbiera dane osobowe — imię, adres e-mail, telefon, czasem treść, która sama w sobie jest informacją o kliencie. Warto oddzielić dwie rzeczy, które w rozmowach handlowych bywają zlepiane w jedną.

Po pierwsze: zabezpieczenie transmisji. Art. 32 RODO wymaga wdrożenia środków technicznych odpowiednich do ryzyka i wymienia szyfrowanie wprost jako jeden z przykładów takiego środka. Przepis nie wskazuje konkretnej technologii i nie mówi „HTTPS" — ale przesyłanie danych osobowych otwartym połączeniem jest dziś trudne do obrony jako odpowiednie, skoro szyfrowanie jest darmowe i powszechne. Argument „nie było nas stać" przestał istnieć w momencie, w którym certyfikaty stały się bezpłatne.

Po drugie: rodzaj certyfikatu. I tu jest sedno: żaden przepis nie nakazuje kupowania certyfikatu komercyjnego. Darmowy certyfikat szyfruje transmisję dokładnie tak samo — tym samym protokołem, tymi samymi algorytmami, bit w bit. Zgodność z przepisem osiąga się przez to, że dane są zaszyfrowane, a nie przez to, ile kosztował certyfikat.

Praktyczny wniosek dla firmy: jeśli na stronie jest jakikolwiek formularz, HTTPS przestaje być kwestią wygody i staje się elementem, o który zapyta każdy audyt zgodności i każdy większy klient przy weryfikacji dostawcy. Ale to pytanie brzmi „czy transmisja jest szyfrowana", a nie „czy zapłaciliście za certyfikat".

Instalacja certyfikatu SSL — od zera i na działającej stronie

Dwie różne sytuacje i dwie różne procedury. Pierwsza jest krótka, druga wymaga uwagi, bo zmienia wszystkie adresy w witrynie naraz.

Nie masz certyfikatu — cztery kroki

Cztery kroki, w tej kolejności. Przy typowym hostingu całość zajmuje kwadrans.

1. Sprawdź, czy hosting oferuje Let's Encrypt. Większość ma to w panelu jako przełącznik. Jeśli tak, włącz i przejdź do kroku 3.
2. Jeśli nie ma — to jest sygnał sam w sobie i warto potraktować go jako powód do rozmowy o zmianie hostingu, a nie do zakupu certyfikatu.
3. Ustaw przekierowanie całego ruchu z HTTP na HTTPS. Bez tego obie wersje działają równolegle, a wyszukiwarka widzi dwie strony zamiast jednej.
4. Sprawdź mieszaną zawartość — otwórz kilka podstron i zobacz, czy kłódka wygląda wszędzie tak samo. Jeśli nie, w treści zostały adresy z http:// wpisane na sztywno.

Krok czwarty jest tym, o którym zapomina się najczęściej, bo trzy pierwsze dają natychmiastowy efekt i wygląda to na zakończone.

Masz działającą stronę na HTTP — jak ją przenieść, nie tracąc adresów

To inna sytuacja niż nowa strona. Przy stronie, która ma już jakikolwiek ruch i jakiekolwiek pozycje, przejście na HTTPS jest zmianą wszystkich adresów w witrynie naraz — bo http://firma.pl/oferta i https://firma.pl/oferta to dla wyszukiwarki dwa różne adresy. Sama zmiana jest bezpieczna, pod warunkiem że zrobi się ją w całości. Połowicznie zrobiona migracja potrafi rozbić widoczność na dwie wersje witryny, z których żadna nie jest pełna.

Cała operacja przy typowej stronie firmowej to praca na godzinę lub dwie. Ryzyko nie leży w trudności, tylko w tym, że łatwo zatrzymać się po kroku drugim — wtedy kłódka jest, strona działa, a połowa zasobów ładuje się starym kanałem.

Kto w firmie odpowiada za odnowienie

To pytanie brzmi trywialnie, dopóki certyfikat nie wygaśnie w sobotę.

Przy ważności skróconej do 200 dni odnowienie wypada dwa razy w roku, a od 2027 roku — prawie cztery razy. Żaden z tych terminów nie trafi w moment, w którym ktoś akurat o tym pomyśli. Dlatego jedyna sensowna odpowiedź na pytanie „kto odnawia" brzmi: nikt, bo robi to automat. Jeśli w Waszym przypadku tak nie jest, warto ustalić trzy rzeczy i zapisać je w jednym miejscu:

• Gdzie certyfikat jest wystawiony — panel hostingu, dostawca zewnętrzny, CDN. Zdarza się, że nikt w firmie tego nie wie, bo stronę stawiał ktoś, kogo już nie ma.
• Na jaki adres e-mail idą powiadomienia o wygaśnięciu. Bardzo często jest to skrzynka byłego pracownika albo adres wykonawcy sprzed lat.
• Kto ma dostęp do panelu. Nie „firma od strony", tylko konkretna osoba z hasłem.

Te trzy odpowiedzi zajmują pięć minut, jeśli sprawdzi się je teraz, i cały dzień, jeśli sprawdza się je w chwili, gdy strona już nie działa.

Czy SSL poprawia pozycję w Google

Tu warto być precyzyjnym, bo krążą dwie skrajności.

HTTPS jest sygnałem rankingowym i Google potwierdził to publicznie — ale lekkim, działającym raczej jako rozstrzygnięcie między dwoma równorzędnymi wynikami niż jako dźwignia. Dodanie certyfikatu do strony, która nie ma ruchu, nie sprawi, że go zyska.

Realna szkoda z braku HTTPS jest pośrednia i większa niż ranking: ludzie uciekają na widok ostrzeżenia. Od października ostrzeżenie zobaczą wszyscy, więc ten pośredni koszt właśnie wzrósł. To jest powód, żeby mieć certyfikat — nie obietnica wyższych pozycji.

Gdy coś nie działa — diagnostyka w kilka minut

Trzy usterki, które znajdujemy najczęściej, trzy przyczyny ostrzeżenia mimo ważnego certyfikatu i czterominutowy test do zrobienia u siebie.

Trzy usterki SSL, które najczęściej znajdujemy w audytach

Certyfikat bywa zainstalowany i mimo to nie działa tak, jak powinien. Trzy przypadki, które widzimy regularnie:

Certyfikat na jednej wersji adresu. Strona ma HTTPS pod firma.pl, ale nie pod www.firma.pl — albo odwrotnie. Część użytkowników trafia na ostrzeżenie, a wyszukiwarka widzi dwie wersje tej samej strony, z których jedna jest niezabezpieczona.

Mieszana zawartość po migracji. Strona ładuje się przez HTTPS, ale ciągnie zdjęcia, czcionki albo skrypty przez HTTP — najczęściej pozostałości po starym adresie zapisane na sztywno w treści. Przeglądarka blokuje część z nich albo pokazuje kłódkę z ostrzeżeniem, a właściciel widzi „kłódka jest, więc jest dobrze".

Wygasły certyfikat bez alertu. Nikt nie ustawił powiadomienia, więc pierwszym sygnałem jest telefon od klienta, który nie może wejść na stronę. Przy ważności skróconej do 200 dni ryzyko dokładnie się podwoiło.

Wszystkie trzy sprawdzamy w warstwie technicznej audytu strony — i wszystkie trzy da się wykryć samodzielnie w kilka minut.

Ostrzeżenie mimo ważnego certyfikatu — trzy przyczyny

Zdarza się, że certyfikat jest opłacony, zainstalowany i niewygasły, a przeglądarka i tak pokazuje ostrzeżenie. Trzy przyczyny odpowiadają za większość takich przypadków i żadna nie wymaga kupowania niczego.

Niezgodność nazwy. Certyfikat wystawiono na firma.pl, a strona działa pod sklep.firma.pl albo pod www. Przeglądarka porównuje adres z listą nazw w certyfikacie i przy braku dopasowania traktuje połączenie jako niezaufane — niezależnie od tego, jak dobry jest sam certyfikat.

Brakujący certyfikat pośredni. Certyfikat serwera jest podpisany przez pośredni, ten przez główny. Jeśli na serwerze wgrano tylko pierwszy z nich, część przeglądarek poradzi sobie sama, a część nie — i wtedy strona działa na jednym urządzeniu, a na drugim pokazuje ostrzeżenie. To najbardziej mylący z trzech przypadków, bo wygląda na problem u odwiedzającego.

Zły zegar na urządzeniu odwiedzającego. Certyfikat ma datę początku i końca ważności. Komputer z przestawioną datą uzna ważny certyfikat za nieważny. Jeśli ostrzeżenie widzi jedna osoba, a reszta świata nie — warto sprawdzić właśnie to, zanim zacznie się zmieniać cokolwiek na serwerze.

Wspólna cecha całej trójki: problem leży w konfiguracji albo poza Waszym serwerem, a nie w produkcie. Wymiana certyfikatu na droższy nie naprawia żadnego z nich.

Jak sprawdzić własny certyfikat w minutę

Cztery rzeczy, bez żadnych narzędzi:

1. Kliknij kłódkę w pasku adresu i sprawdź datę ważności. Jeśli zostało mniej niż trzydzieści dni, a nie wiesz, kto odnawia — to jest zadanie na dziś.
2. Wejdź na stronę bez `www` i z `www`. Obie wersje mają działać po HTTPS i jedna ma przekierowywać na drugą.
3. Wpisz adres z `http://` na początku. Powinieneś zostać przekierowany na HTTPS automatycznie.
4. Otwórz podstronę ze zdjęciami i sprawdź, czy kłódka wygląda tak samo jak na stronie głównej. Różnica oznacza mieszaną zawartość.

Jeśli któreś z tych czterech wypadnie źle, problem jest w konfiguracji, a nie w samym certyfikacie — i zwykle da się go naprawić bez kupowania czegokolwiek.