Certyfikaty SSL HTTPS i Szyfrowanie

Certyfikat SSL (Secure Sockets Layer) to cyfrowy dokument umożliwiający szyfrowane połączenie między przeglądarką użytkownika a serwerem strony internetowej. Dzięki SSL adres strony zaczyna się od HTTPS, a w przeglądarce wyświetla się kłódka informująca o bezpiecznym połączeniu. SSL chroni dane przesyłane przez użytkowników — loginy, hasła, dane kart płatniczych i formularze. Google od 2018 roku traktuje brak SSL jako czynnik rankingowy negatywny i wyświetla ostrzeżenie "Niezabezpieczone" w Chrome dla stron bez HTTPS.

Let's Encrypt to darmowy certyfikat DV (Domain Validation) weryfikujący tylko własność domeny — przeglądarka widzi kłódkę, ale nie informacje o firmie. Jest wystarczający dla blogów i stron wizytówkowych. Certyfikaty OV (Organization Validation) weryfikują tożsamość firmy przez urząd certyfikacji — rekomendowane dla sklepów i firmowych stron. Certyfikaty EV (Extended Validation) oferują najwyższy poziom walidacji — bank lub duży e-commerce to typowe przypadki użycia. Certyfikaty Wildcard chronią domenę i wszystkie subdomeny jednym certyfikatem.

Instalacja certyfikatu Let's Encrypt z konfiguracją HTTPS, przekierowaniami i HSTS kosztuje od 300 zł netto — to usługa konfiguracji, sam certyfikat jest darmowy. Certyfikat SSL Business (OV) to koszt od 800 zł netto — zawiera certyfikat od płatnego CA, weryfikację firmy i pełną instalację. Pakiet SSL Premium (EV lub Wildcard) zaczyna się od 2000 zł netto i obejmuje certyfikat Extended Validation lub Wildcard chroniący wszystkie subdomeny z rocznym wsparciem technicznym.

Tak, Google oficjalnie potwierdza, że HTTPS jest czynnikiem rankingowym w wyszukiwarce od 2014 roku. Strony z certyfikatem SSL mogą uzyskiwać wyższe pozycje od tych samych stron bez SSL. Ponadto brak SSL powoduje wyświetlanie ostrzeżenia "Niezabezpieczone" w Chrome, co znacząco zwiększa współczynnik odrzuceń. Przekierowanie z HTTP na HTTPS musi być poprawnie skonfigurowane (przekierowania 301), aby Google zaktualizowało indeks i przeniosło moc SEO na nowe adresy HTTPS.

Mixed content (mieszana treść) pojawia się, gdy strona działa pod HTTPS, ale ładuje zasoby (obrazy, skrypty, CSS, fonty) przez HTTP. Przeglądarka blokuje lub ostrzega o mieszanej treści, co może powodować brak kłódki lub ostrzeżenia bezpieczeństwa. Naprawiamy mixed content przez aktualizację wszystkich adresów URL zasobów na HTTPS — w kodzie strony, bazie danych CMS i plikach konfiguracyjnych. W WordPress używamy wtyczek Search & Replace dla masowej aktualizacji linków w bazie danych.

Certyfikat Wildcard SSL chroni domenę główną i wszystkie jej subdomeny jednocześnie za pomocą jednego certyfikatu (*.twojadomena.pl). Na przykład certyfikat *.studiokalmus.com chroni: www.studiokalmus.com, sklep.studiokalmus.com, blog.studiokalmus.com, panel.studiokalmus.com i każdą inną subdomenę. Jest szczególnie opłacalny dla firm posiadających wiele subdomen — jedno zamówienie zamiast kilku oddzielnych certyfikatów.

Certyfikaty Let's Encrypt są ważne przez 90 dni i wymagają odnowienia co 60-90 dni — automatyzujemy ten proces przez certbot lub cron, więc nie musisz się tym zajmować ręcznie. Płatne certyfikaty OV i EV są zazwyczaj wystawiane na 1 rok (maksymalnie 398 dni zgodnie z wymaganiami przeglądarek). Konfigurujemy monitoring certyfikatu z alertami e-mail lub SMS na 30, 14 i 7 dni przed wygaśnięciem, aby nigdy nie doszło do sytuacji, w której strona traci kłódkę.

HSTS (HTTP Strict Transport Security) to mechanizm bezpieczeństwa nakazujący przeglądarkom zawsze korzystać z HTTPS dla danej domeny przez zdefiniowany czas (np. rok). Po dodaniu nagłówka HSTS przeglądarka automatycznie blokuje próby połączenia przez HTTP, chroniąc przed atakami man-in-the-middle i protokołem downgrade. Konfigurujemy HSTS z dyrektywami includeSubDomains (dla subdomen) i preload (dla listy preload HSTS przeglądarek). HSTS jest rekomendowany dla wszystkich stron posiadających certyfikat SSL.