Certyfikat SSL – czym jest zielona kłódka i dlaczego jej potrzebujesz

Wyobraź sobie tę scenę. Potencjalny klient wpisuje nazwę Twojej firmy w Google, klika w link do strony i zamiast oferty widzi czerwony ekran z napisem „Twoje połączenie nie jest prywatne” albo „Strona niebezpieczna”. Co robi? Nie dzwoni do Ciebie z pytaniem, co się stało. Po prostu zamyka kartę i klika w stronę konkurencji. Ty nawet się o tym nie dowiesz.

To nie jest scenariusz z horroru o cyberbezpieczeństwie. To codzienność stron, które nie mają certyfikatu SSL. Większość właścicieli firm z Bydgoszczy, z którymi rozmawiamy, dowiaduje się o problemie dopiero wtedy, gdy zadzwoni do nich przestraszony znajomy. A do tego momentu strona po cichu odstraszała odwiedzających tygodniami.

W tym wpisie wytłumaczymy, czym naprawdę jest certyfikat SSL i ta słynna zielona kłódka. Bez technicznego żargonu, za to z konkretnymi liczbami i tym, co to oznacza dla Twoich pieniędzy.

Co się dzieje, gdy Twoja strona nie ma SSL

Zacznijmy od tego, co czytelnik widzi naprawdę, bo to boli najbardziej.

Od 2018 roku przeglądarka Google Chrome (a z niej korzysta ponad 60% Polaków) oznacza każdą stronę bez SSL słowem „Niezabezpieczona”. W pasku adresu, tuż obok nazwy Twojej firmy. Przy formularzach kontaktowych potrafi wyświetlić jeszcze ostrzejszy komunikat na czerwono. Firefox i Safari robią dokładnie to samo.

Teraz spójrz na to oczami klienta. Wchodzi na stronę firmy budowlanej ze Śródmieścia, chce wysłać zapytanie o wycenę, a przeglądarka krzyczy do niego „Uwaga, niebezpiecznie”. Nawet jeśli nie rozumie, o co chodzi technicznie, czuje jedno: tu coś jest nie tak. Zaufanie znika w sekundę.

A teraz najważniejsze. Ten klient nie napisze Ci, że uciekł. Nie zostawi komentarza. Po prostu zniknie, a Ty zobaczysz tylko, że strona „jakoś słabo dowozi zapytania”. Brak SSL to jeden z tych cichych zabójców konwersji, których nie widać w żadnej statystyce, dopóki ktoś ich nie wskaże palcem.

Czym właściwie jest certyfikat SSL (po ludzku)

Pora na samo sedno. Powiemy to bez ani jednego skrótu, którego musiałbyś szukać w Google.

Wyobraź sobie, że wysyłasz list. Masz dwie opcje. Możesz napisać wszystko na pocztówce, którą przeczyta każdy, przez kogo ona przejdzie. Albo możesz włożyć list do zaklejonej koperty, której nikt po drodze nie otworzy.

Certyfikat SSL to ta zaklejona koperta. Strona bez niego przesyła dane jak pocztówkę. Każde hasło, numer telefonu czy treść formularza, które klient wpisuje, leci przez internet otwartym tekstem. Strona z SSL szyfruje to wszystko, czyli zamienia w nieczytelny ciąg znaków, który ma sens tylko dla Twojego serwera.

Zielona kłódka w pasku adresu (dziś częściej szara, bo Google uznał, że to powinien być standard, a nie wyróżnik) to po prostu sygnał dla klienta: „ta koperta jest zaklejona, możesz tu bezpiecznie zostawić swoje dane”. Adres strony zmienia się wtedy z „http” na „https” – to dodatkowe „s” na końcu oznacza właśnie „secure”, czyli bezpieczne.

To wszystko. Żadnej magii. SSL nie sprawia, że Twoja strona robi coś więcej. Sprawia, że to, co już robi, robi w sposób, któremu klient i przeglądarka ufają.

SSL a Google – dlaczego to jest też kwestia pozycji

Tu robi się ciekawie, bo SSL to nie tylko sprawa zaufania klientów. To również sprawa Twojej widoczności w wynikach wyszukiwania.

Już w 2014 roku Google oficjalnie ogłosił, że HTTPS jest jednym z sygnałów rankingowych. Po ludzku: jeśli masz dwie podobne strony, a jedna ma SSL, a druga nie, Google chętniej pokaże tę z SSL wyżej. Sam certyfikat nie wystrzeli Cię na pierwsze miejsce, bo o pozycje gra mnóstwo czynników. Ale jego brak działa jak kotwica, która ciągnie Cię w dół.

Do tego dochodzi efekt pośredni. Jeśli ludzie wchodzą na Twoją stronę, widzą ostrzeżenie i natychmiast wychodzą, Google to widzi. Wysoki współczynnik odrzuceń to dla algorytmu sygnał, że strona nie odpowiada na potrzeby użytkownika. A to ciągnie pozycje jeszcze niżej. Brak SSL potrafi więc uderzyć w Ciebie podwójnie.

Jeśli zastanawiasz się, dlaczego Twoja strona ledwo pojawia się w wynikach, brak certyfikatu SSL bywa jedną z pierwszych rzeczy, które sprawdzamy. Opisaliśmy więcej takich pułapek w naszym przewodniku o tym, dlaczego strona nie jest widoczna w Google i jak to sprawdzić w 2 minuty.

Ile kosztuje certyfikat SSL

Teraz pytanie, które pewnie chodzi Ci po głowie od początku. Ile trzeba za to zapłacić.

I tu mamy dla Ciebie dobrą wiadomość, której wiele firm nie powie wprost, bo na SSL da się zarobić. Podstawowy certyfikat może być całkowicie darmowy.

Istnieje organizacja Let’s Encrypt, która wydaje certyfikaty SSL za zero złotych. Są dokładnie tak samo skuteczne jak płatne w przypadku zwykłej strony firmowej czy sklepu. Przeglądarka pokazuje przy nich tę samą kłódkę, szyfrowanie działa identycznie. Dla 95% firm w Bydgoszczy to w zupełności wystarczy.

Konkretnie, na hostingu, który polecamy klientom (Hostido, pakiet NVME 2 za 79 zł brutto rocznie, czyli niecałe 8 zł miesięcznie), darmowy certyfikat Let’s Encrypt jest w cenie i instaluje się automatycznie. Nie dopłacasz za niego ani grosza.

Płatne certyfikaty SSL też istnieją i kosztują od kilkudziesięciu do kilkuset złotych rocznie. Mają sens głównie dla dużych instytucji, banków czy sklepów, które chcą dodatkowej weryfikacji firmy widocznej w certyfikacie. Dla typowej firmy z 15-40 pracownikami płacenie za SSL to zwykle wyrzucanie pieniędzy.

W FancyWeb.pl mamy w tej sprawie prostą zasadę. Zielona kłódka to standard, nie dodatkowa pozycja na fakturze. Każdą stronę, którą oddajemy klientowi, dostajesz z działającym certyfikatem SSL w cenie. Nie dosprzedajemy bezpieczeństwa jako opcji premium, bo to tak, jakby sprzedawać samochód i liczyć osobno za hamulce.

„Mam kłódkę, więc moja strona jest w pełni bezpieczna” – to półprawda

Tu muszę Cię trochę ostudzić, bo wokół SSL narosło sporo nieporozumień.

Zielona kłódka mówi jedną konkretną rzecz: połączenie między przeglądarką klienta a Twoją stroną jest zaszyfrowane. I tyle. To ważne, ale to nie jest tarcza chroniąca przed wszystkim.

Kłódka NIE oznacza, że:

Strona nie może zostać zhakowana przez dziurę w nieaktualnej wtyczce. SSL szyfruje transport danych, ale nie pilnuje, czy Twój WordPress jest załatany.

Strona jest wolna od wirusów czy złośliwego kodu. Można mieć idealny certyfikat i zainfekowaną stronę jednocześnie.

Firma po drugiej stronie jest uczciwa. Oszuści też potrafią założyć stronę z SSL. Sama kłódka nie jest gwarancją, że trafiłeś na rzetelnego kontrahenta.

Mówimy o tym, bo widzimy dwa skrajne błędy. Jedni w ogóle nie mają SSL i tracą klientów. Drudzy mają kłódkę i uznają, że temat bezpieczeństwa mają z głowy, więc zaniedbują aktualizacje i kopie zapasowe. Oba podejścia kosztują.

Prawdziwe bezpieczeństwo strony to SSL plus regularne aktualizacje, plus kopie zapasowe, plus monitoring. U naszych klientów na stałej współpracy SEO to wszystko dzieje się automatycznie w ramach abonamentu, bo zadbana technicznie strona po prostu lepiej rankuje. Przy okazji, jeśli ktoś próbuje Ci sprzedać SSL jako „zaawansowane zabezpieczenie premium” za grube pieniądze, to jedna z czerwonych flag złej agencji webowej, na które warto uważać.

Plan działania – sprawdź swoją stronę w 30 sekund

Dość teorii. Zobaczmy, jak wygląda Twoja sytuacja, bo to zajmie dosłownie chwilę.

Krok pierwszy. Otwórz swoją stronę w przeglądarce i spójrz na pasek adresu. Jeśli adres zaczyna się od „https” i widzisz kłódkę, jesteś w dobrym miejscu. Jeśli widzisz „http” bez „s” albo napis „Niezabezpieczona”, masz problem do rozwiązania od zaraz.

Krok drugi. Kliknij w kłódkę (albo w ikonę obok adresu). Przeglądarka pokaże Ci, czy certyfikat jest ważny. Certyfikaty wygasają, najczęściej co 3 miesiące lub co rok, i muszą się odnawiać. Jeśli zobaczysz komunikat o wygasłym certyfikacie, to częsta wpadka, która zamienia bezpieczną stronę w straszącą klientów z dnia na dzień.

Krok trzeci. Sprawdź podstrony, nie tylko stronę główną. Czasem główna ma SSL, a jakaś podstrona czy formularz nie, bo coś się rozjechało przy wdrożeniu. Klient trafi akurat na tę jedną.

Co zrobić, jeśli SSL nie działa? Jeśli ogarniasz technicznie i masz dostęp do panelu hostingu, włączenie darmowego Let’s Encrypt to zwykle kwestia kilku kliknięć. Jeśli to dla Ciebie czarna magia albo nie masz na to czasu (a masz firmę do prowadzenia), to jest dokładnie ten moment, w którym warto oddać sprawę komuś, kto robi to na co dzień.

Gdy budujemy stronę internetową w Bydgoszczy, SSL konfigurujemy od ręki, razem z hostingiem i całą resztą techniczną. Klient dostaje stronę, która od pierwszego dnia ma zieloną kłódkę i nie straszy nikogo komunikatami. Bez dopłat, bez gwiazdek w umowie.

FAQ – najczęstsze pytania o zieloną kłódkę

Czy certyfikat SSL jest płatny?

Nie musi być. Dla zwykłej strony firmowej czy sklepu w zupełności wystarczy darmowy certyfikat Let’s Encrypt, który na większości dobrych hostingów (jak Hostido) jest w cenie i instaluje się automatycznie. Płatne certyfikaty mają sens głównie dla banków i dużych instytucji.

Co oznacza komunikat „Strona niezabezpieczona” w Chrome?

Oznacza, że strona nie ma działającego certyfikatu SSL, więc dane przesyłane są bez szyfrowania. Przeglądarka ostrzega o tym klienta, co skutecznie odstrasza go od zostawienia kontaktu czy zakupu. To problem do naprawienia natychmiast.

Czy SSL pomaga w pozycjonowaniu w Google?

Tak, choć pośrednio. Google od 2014 roku traktuje HTTPS jako sygnał rankingowy. Sam certyfikat nie wywinduje Cię na szczyt, ale jego brak ciągnie pozycje w dół, dodatkowo przez to, że odwiedzający szybko uciekają ze strony z ostrzeżeniem.

Czy zielona kłódka oznacza, że moja strona jest w pełni bezpieczna?

Nie do końca. Kłódka potwierdza tylko, że połączenie jest szyfrowane. Nie chroni przed zhakowaniem przez dziurę w nieaktualnej wtyczce ani przed wirusami. Pełne bezpieczeństwo to SSL plus regularne aktualizacje, kopie zapasowe i monitoring.

Jak długo ważny jest certyfikat SSL?

Zależy od typu. Darmowe certyfikaty Let’s Encrypt są ważne 3 miesiące i odnawiają się automatycznie, jeśli hosting jest dobrze skonfigurowany. Płatne zwykle obowiązują rok. Wygasła kłódka zamienia bezpieczną stronę w ostrzegającą klientów, więc warto to monitorować.

Podsumowanie – mała kłódka, duża różnica

Certyfikat SSL i zielona kłódka to jedna z tych rzeczy, które wydają się drobnym technicznym detalem, a po cichu decydują o tym, czy klient zostawi Ci zapytanie, czy ucieknie do konkurencji.

Zapamiętaj trzy rzeczy. Po pierwsze, strona bez SSL straszy klientów komunikatem „Niezabezpieczona” i traci ich bez śladu w statystykach. Po drugie, podstawowy certyfikat może być całkowicie darmowy, więc brak SSL to dziś żaden problem budżetowy, tylko kwestia ogarnięcia tematu. Po trzecie, kłódka to nie wszystko – prawdziwe bezpieczeństwo strony wymaga jeszcze aktualizacji i kopii zapasowych.

Sprawdziłeś swoją stronę i widzisz „http” bez „s” albo ostrzeżenie? Nie czekaj, aż zadzwoni do Ciebie przestraszony klient. Każdy dzień z czerwonym komunikatem to klienci, którzy wybierają kogoś innego.