Wyobraź sobie, że wysyłasz tradycyjny list pocztowy, ale zamiast włożyć go do koperty, piszesz wszystko na zwykłej kartce pocztowej. Każdy, przez czyje ręce przejdzie ta kartka – listonosz, pracownik sortowni czy wścibski sąsiad – może bez problemu przeczytać Twoją treść, poznać nazwisko adresata, a nawet dopisać coś od siebie.
Dokładnie tak działa stary protokół HTTP. Wszystkie dane przesyłane między Twoją przeglądarką a serwerem strony były widoczne jak na dłoni. W dzisiejszym internecie, gdzie przez sieć przechodzą nasze hasła, numery kart kredytowych i dane osobowe, taki stan rzeczy jest nie do zaakceptowania. Rozwiązaniem jest protokół HTTPS wspierany przez certyfikat SSL.
HTTPS vs HTTP – różnice
Szyfrowanie danych: TLS/SSL
Różnica między HTTP (Hypertext Transfer Protocol) a HTTPS (Hypertext Transfer Protocol Secure) sprowadza się do jednej, kluczowej warstwy bezpieczeństwa: szyfrowania.
HTTPS wykorzystuje protokół kryptograficzny do ochrony transmisji danych. Przez lata był to standard SSL (Secure Sockets Layer), który z biegiem czasu został zastąpiony przez nowocześniejszy i bezpieczniejszy TLS (Transport Layer Security). Choć technicznie używamy dziś protokołu TLS, w marketingu i powszechnej mowie nazwa „certyfikat SSL” zakorzeniła się tak mocno, że oba te pojęcia stosuje się zamiennie.
Gdy wchodzisz na stronę z HTTPS, przeglądarka i serwer nawiązują tzw. bezpieczny uścisk dłoni (SSL handshake). Dane przed wysłaniem są zamieniane w skomplikowany, niemożliwy do odczytania ciąg znaków. Nawet jeśli cyberprzestępca „podsłucha” pakiet danych w publicznej sieci Wi-Fi, zobaczy jedynie losową plątaninę liter i cyfr, której nie będzie w stanie złamać bez unikalnego klucza prywatnego.
Kłódka w przeglądarce – co oznacza?
Przez lata symbolem bezpiecznego połączenia była zielona lub szara ikona kłódki w pasku adresu przeglądarki. Obecnie standardy wizualne nieco się zmieniły – nowoczesne przeglądarki (takie jak Google Chrome czy Safari) odchodzą od ikony klasycznej kłódki na rzecz bardziej neutralnych ikon dostosowania (np. suwaków), uważając, że bezpieczeństwo powinno być domyślnym standardem, a nie wyróżnieniem.
Jedno się jednak nie zmieniło: strony bez certyfikatu są jawnie piętnowane. Jeśli Twoja strona nadal działa na zwykłym HTTP, użytkownik zobaczy złowrogi, czerwony komunikat „Niezabezpieczona” (Not Secure). Dla większości odwiedzających to jasny sygnał do ucieczki – zwłaszcza jeśli trafili na sklep internetowy, w którym mieli zostawić swoje pieniądze.
HTTPS jako sygnał rankingowy od 2014 roku
Google od zawsze bawi się w promotora bezpiecznego internetu. Już w sierpniu 2014 roku gigant z Mountain View oficjalnie ogłosił, że HTTPS staje się oficjalnym czynnikiem rankingowym algorytmu.
Na początku algorytm traktował bezpieczny protokół jako tzw. tie-breaker – jeśli dwie strony miały identyczną jakość treści i profil linków, ta z HTTPS wygrywała pozycję. Z biegiem lat znaczenie bezpiecznego połączenia wzrosło. Dziś HTTPS to absolutny fundament i element tzw. Page Experience (wygody korzystania ze strony). Bez niego skuteczna walka o topowe pozycje w konkurencyjnych branżach jest praktycznie niemożliwa.
Certyfikat SSL – typy i koszty
Wybór certyfikatu zależy od profilu Twojej działalności, budżetu oraz liczby posiadanych subdomen. Na rynku znajdziesz trzy główne klasy certyfikatów, które różnią się poziomem weryfikacji tożsamości właściciela strony przez instytucję certyfikującą (CA).
DV, OV, EV – różnice i zastosowania
1. DV (Domain Validation) – Weryfikacja domeny
To najprostszy i najpopularniejszy typ certyfikatu. Proces jego wydania jest w pełni automatyczny i trwa zaledwie kilka minut. Instytucja certyfikująca sprawdza jedynie, czy faktycznie masz kontrolę nad daną domeną (np. poprzez dodanie odpowiedniego rekordu DNS lub odebranie maila na adresie w domenie).
- Koszt: Od 0 zł do około 100 zł rocznie.
- Zastosowanie: Blogi, strony wizytówkowe firm, proste serwisy informacyjne, małe sklepy internetowe.
2. OV (Organization Validation) – Weryfikacja organizacji
Tutaj automatyzacja nie wystarczy. Przed wydaniem certyfikatu, analitycy weryfikują Twoją firmę w oficjalnych rejestrach państwowych (np. KRS, CEIDG). Sprawdzają, czy firma legalnie istnieje, gdzie ma siedzibę i czy osoba wnioskująca o certyfikat ma prawo reprezentować podmiot.
- Koszt: Od 200 zł do 600 zł rocznie.
- Zastosowanie: Większe sklepy e-commerce, portale korporacyjne, systemy SaaS zbierające wrażliwe dane.
3. EV (Extended Validation) – Pełna, rozszerzona weryfikacja
Najbardziej prestiżowy i rygorystyczny certyfikat. Proces weryfikacji korporacji jest wieloetapowy i obejmuje m.in. rozmowy telefoniczne z działem prawnym czy weryfikację fizycznej lokalizacji biura. Dawniej certyfikat ten wyróżniał się wyświetlaniem zielonego paska z pełną nazwą firmy w przeglądarce. Dziś nazwa firmy jest widoczna po kliknięciu w szczegóły połączenia.
- Koszt: Od 500 zł do nawet kilku tysięcy złotych rocznie.
- Zastosowanie: Bankowość internetowa, duże bramki płatnicze, systemy rządowe, giganci e-commerce.
Let’s Encrypt – bezpłatny certyfikat
W 2016 roku organizacja ISRG uruchomiła projekt Let’s Encrypt – darmowy, otwarty i w pełni zautomatyzowany urząd certyfikacji klasy DV. Misją projektu było zabezpieczenie całego globalnego internetu.
Dziś Let’s Encrypt to standard oferowany bezpłatnie przez niemal każdego szanującego się dostawcę hostingu. Certyfikat instaluje się jednym kliknięciem w panelu zarządzania serwerem (np. cPanel, DirectAdmin). Pod względem siły szyfrowania darmowy Let’s Encrypt nie ustępuje w niczym płatnym certyfikatom komercyjnym klasy DV. Jedyną różnicą jest konieczność jego odnawiania co 90 dni (co hostingi robią automatycznie w tle) oraz brak gwarancji finansowej w przypadku złamania szyfru (co w praktyce i tak się nie zdarza).
Certyfikaty Wildcard dla subdomen
Jeśli oprócz głównej strony domena.pl prowadzisz też liczne subdomeny, takie jak sklep.domena.pl, blog.domena.pl czy panel.domena.pl, kupowanie osobnego certyfikatu dla każdego adresu byłoby udręką.
Rozwiązaniem jest certyfikat typu Wildcard. Oznacza się go gwiazdką w nazwie domeny: *.domena.pl. Taki jeden certyfikat automatycznie zabezpiecza domenę główną oraz nieograniczoną liczbę subdomen pierwszego poziomu, co drastycznie ułatwia zarządzanie infrastrukturą techniczną.
Migracja z HTTP na HTTPS
Przejście z protokołu HTTP na HTTPS to z punktu widzenia robotów wyszukiwarki globalna zmiana adresów URL. Google traktuje wersję bezpieczną jako zupełnie nową stronę, dlatego proces migracji musi zostać przeprowadzony precyzyjnie, aby nie utracić wypracowanego ruchu organicznego.
Krok 1: Konfiguracja certyfikatu na serwerze
Pierwszym krokiem jest aktywacja i instalacja certyfikatu SSL u Twojego dostawcy hostingu. Po prawidłowej instalacji Twoja strona powinna być jednocześnie dostępna pod dwoma adresami: starym http://domena.pl oraz nowym https://domena.pl.
Krok 2: Przekierowanie HTTP → HTTPS (301)
Nie możesz pozwolić, aby strona działała pod dwoma protokołami jednocześnie, bo doprowadzi to do ogromnej duplikacji treści (duplicate content). Musisz zmusić serwer, aby każdego użytkownika i robota wpisującego adres z HTTP natychmiast przenosił na bezpieczną wersję.
Używamy do tego opisanego wcześniej przekierowania stałego 301. Na serwerach Apache realizuje się to poprzez dodanie odpowiedniego zapisu w pliku .htaccess:
Apache
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
Krok 3: Aktualizacja URL-i w treści i linkach wewnętrznych
Samo wdrożenie przekierowania na serwerze to za mało. Aby strona działała szybko i nie generowała błędów, musisz wejść do bazy danych swojego systemu CMS (np. WordPressa) i podmienić wszystkie bezwzględne linki wewnętrzne.
Artykuły, menu strony, widgety oraz linki do plików graficznych nie mogą zaczynać się od http://. Jeśli korzystasz z WordPressa, najprostszym rozwiązaniem jest użycie wtyczki Better Search Replace, która przeszuka całą bazę danych i podmieni frazę http://twojadomena.pl na https://twojadomena.pl.
Krok 4: Aktualizacja GSC i GA4 po migracji
Ponieważ dla Google zmiana protokołu to zmiana adresu, musisz zaktualizować narzędzia analityczne:
- Google Search Console: Jeśli weryfikowałeś stronę za pomocą metody Prefiks adresu URL, musisz dodać do konta nową usługę dla adresu z
https://. Jeśli korzystasz z nowoczesnej weryfikacji metodą Domena, nie musisz nic robić – zbiera ona dane ze wszystkich protokołów i subdomen automatycznie. - Google Analytics 4 (GA4): Przejdź do panelu administracyjnego, wybierz Strumienie danych, kliknij swój strumień sieciowy i w ustawieniach zmień domyślny protokół z HTTP na HTTPS.
Typowe błędy po migracji na HTTPS
Błędy podczas migracji na HTTPS potrafią skutecznie zepsuć widoczność strony w Google i zdezorientować użytkowników. Oto najczęstsze pułapki:
1. Mixed content (mieszana zawartość)
To zdecydowanie najpopularniejszy błąd. Występuje wtedy, gdy sama strona główna ładuje się poprawnie przez bezpieczny protokół https://, ale w jej kodzie źródłowym zaszyte są odwołania do elementów (obrazków, skryptów JS, plików stylów CSS) za pomocą starego protokołu http://.
Efekt? Przeglądarka blokuje te nieszyfrowane elementy ze względów bezpieczeństwa. Strona może stracić formatowanie (rozjechać się wizualnie), przestać reagować na kliknięcia, a użytkownik zamiast czystego profilu bezpieczeństwa zobaczy ostrzeżenie, że „część zasobów tej witryny nie jest bezpieczna”.
2. Brak przekierowania www / non-www
Wdrażając HTTPS, łatwo zapomnieć o kombinacjach adresów. Musisz upewnić się, że konfiguracja serwera obsługuje prawidłowo wszystkie cztery warianty wejściowe i kieruje je do jednego, docelowego adresu:
http://domena.pl→https://domena.plhttp://www.domena.pl→https://domena.plhttps://www.domena.pl→https://domena.pl
Brak jednego z tych ogniw sprawi, że część użytkowników trafi na błędy serwera lub niezaszyfrowaną wersję strony.
3. Niezaktualizowana mapa strony
Częstym niedopatrzeniem jest pozostawienie starych adresów z przedrostkiem http:// w pliku sitemap.xml. Gdy przesyłasz taką mapę do Google Search Console, zmuszasz robota Googlebota do odwiedzania linków, które natychmiast natrafiają na przekierowanie 301. To marnowanie budżetu indeksowania (crawl budget). Mapa strony musi generować wyłącznie aktualne, docelowe linki z https://.
Weryfikacja poprawności HTTPS
Po zakończeniu wszystkich prac technicznych nie zgaduj, czy wszystko działa – użyj darmowych, niezależnych narzędzi do audytu.
SSL Labs – darmowy test certyfikatu
Narzędzie Qualys SSL Labs (SSL Server Test) to branżowy standard oceny jakości wdrożenia szyfrowania. Wystarczy wpisać adres swojej domeny, a system przeprowadzi głęboki test konfiguracji serwera, sprawdzając m.in. aktualność protokołów (czy serwer nie wspiera przestarzałych wersji TLS 1.0/1.1), odporność na znane ataki kryptograficzne oraz poprawność łańcucha certyfikacji. Docelowy, idealny wynik, do którego powinieneś dążyć, to ocena A+.
Why No Padlock – wykrywanie mixed content
Jeśli po migracji na Twojej stronie wciąż nie pojawia się upragniona informacja o bezpiecznym połączeniu, skorzystaj z serwisu Why No Padlock.
To proste narzędzie skanuje wskazaną podstronę i w ciągu kilku sekund wyświetla przejrzystą czarną listę elementów, które wywołują błąd mixed content. Dowiesz się dokładnie, która grafika lub skrypt wtyczki zewnętrznej blokuje pełne szyfrowanie witryny, co pozwoli Ci na błyskawiczną naprawę kodu.