Certyfikat SSL - co to jest i dlaczego każda strona go potrzebuje

Widziałeś kiedyś ostrzeżenie przeglądarki "Ta strona nie jest bezpieczna" i natychmiast nacisnąłeś wstecz? Odwiedzający robią dokładnie to samo na stronie bez SSL - a większość właścicieli nie ma pojęcia, że ich strona właśnie teraz pokazuje to ostrzeżenie. Dobra wiadomość: certyfikat jest darmowy, instaluje się w kilka minut, a przy poprawnej konfiguracji odnawia się sam. Oto co naprawdę robi i jak sprawdzić, czy u Ciebie działa.

Co SSL faktycznie robi

SSL szyfruje połączenie między Twoją stroną a przeglądarką odwiedzającego. Bez niego dane podróżują otwarcie - jak pocztówka zamiast zapieczętowanego listu. Każdy, kto znajdzie się pomiędzy końcami połączenia, na przykład we wspólnej sieci w kawiarni, może odczytać to, co przez nie przechodzi. Z SSL pasek adresu pokazuje https i kłódkę, a treść jest nieczytelna dla wszystkich poza dwiema stronami.

Robi też drugą rzecz, o której rzadko się mówi: potwierdza, że strona naprawdę należy do Ciebie. Certyfikat jest wystawiony na Twoją domenę, więc przeglądarka może zweryfikować, że rozmawia z Twoim serwerem, a nie z kimś, kto się pod niego podszywa. Szyfrowanie plus tożsamość - na tym polega cały pomysł.

"Ale ja nie przyjmuję płatności - czy nadal go potrzebuję?"

Tak, i to jest najczęstsze nieporozumienie. Kiedyś SSL kojarzył się ze sklepami i danymi kart, więc strona wizytówka wydawała się wyjątkiem. To przestało być prawdą lata temu - z dwóch powodów.

Po pierwsze: Twój formularz kontaktowy przenosi dane osobowe - imię, numer telefonu, czasem adres lub opis problemu. Wysyłanie tego bez szyfrowania to dokładnie sytuacja, dla której powstały przepisy o prywatności.

Po drugie: przeglądarce jest obojętne, czy cokolwiek sprzedajesz. Chrome oznacza \"Niezabezpieczone\" każdą stronę na zwykłym HTTP, niezależnie od jej zawartości. Ostrzeżenie pojawia się na wizytówce hydraulika dokładnie tak samo jak w sklepie. Jakie obowiązki wiążą się ze zbieraniem danych z formularzy w Polsce, opisujemy w tekście RODO i cookies na stronie.

Co widzi odwiedzający bez niego

To właśnie ta część kosztuje pieniądze. Na stronie bez certyfikatu Chrome pokazuje "Niezabezpieczone" obok adresu. Kliknij w pole formularza, a niektóre przeglądarki dodadzą drugie, głośniejsze ostrzeżenie. Na telefonie ten napis ląduje dokładnie pod kciukiem odwiedzającego.

Prawie nikt nie wie, czym jest certyfikat. Ludzie po prostu czytają słowo "niezabezpieczone" obok nazwy firmy, do której mieli zadzwonić, i po cichu wracają do wyników wyszukiwania. Nigdy się o tym nie dowiesz - nie ma powiadomienia o odwiedzającym, który wyszedł.

To ten sam cichy wyciek co wolna strona albo zepsuty formularz: od środka nic nie wygląda źle, po prostu telefon dzwoni rzadziej. Mechanikę opisujemy w tekście szybkość strony a konwersje.

Google a HTTPS

Google traktuje HTTPS jako sygnał rankingowy od 2014 roku i od tego czasu go promuje. To lekki sygnał - sam certyfikat nie wyniesie Cię ponad mocniejszego konkurenta - ale działa jako języczek u wagi między podobnymi stronami, a jego brak wygląda na wyraźny problem z jakością.

Większy praktyczny efekt jest pośredni. Bez HTTPS nie skorzystasz z nowoczesnych funkcji przeglądarki, dane w analityce robią się mniej wiarygodne, a część źródeł ruchu ginie. Jeśli dopiero zaczynasz z widocznością w wyszukiwarce, podstawy zebraliśmy w tekstach co to jest SEO i widoczność w Google.

SSL jest bezpłatny - oto jak

Let's Encrypt to non-profitowy urząd certyfikacji, który wystawia certyfikaty bezpłatnie i któremu ufają wszystkie główne przeglądarki. Darmowy certyfikat z Let's Encrypt daje dokładnie to samo szyfrowanie co płatny - kłódka wygląda identycznie, a połączenie jest tak samo bezpieczne.

Praktycznie każdy polski hosting oferuje go w panelu, zwykle za jednym przełącznikiem. Jeśli dostawca chce rocznej opłaty za podstawowy certyfikat, to sygnał, żeby przyjrzeć się samemu hostingowi, a nie tylko certyfikatowi.

Wszystkie strony, które robimy, mają skonfigurowany SSL w standardzie - to nie dodatek i nigdy nie pojawia się jako osobna pozycja na fakturze. Gdzie certyfikat mieści się w szerszym obrazie hostingu, wyjaśniamy w tekście domena i hosting.

Płatne certyfikaty - kiedy mają sens?

Dla strony małej firmy prawie nigdy. Płatne certyfikaty różnią się poziomem weryfikacji firmy i dołączoną gwarancją, a nie siłą szyfrowania. Warto znać trzy typy:

• DV (walidacja domeny) - potwierdza, że kontrolujesz domenę. Takie wystawia Let's Encrypt i dla zdecydowanej większości stron to wystarcza.
• OV (walidacja organizacji) - urząd dodatkowo weryfikuje istnienie firmy. Czasem wymagane przez większych partnerów albo w przetargach.
• EV (rozszerzona walidacja) - najdokładniejsza kontrola. Przeglądarki nie wyświetlają jej już inaczej, więc jej wartość marketingowa w zasadzie zniknęła.

Jeśli ktoś próbuje sprzedać Ci drogi certyfikat do pięciostronicowej wizytówki "dla lepszego bezpieczeństwa", uczciwa odpowiedź brzmi: darmowy certyfikat DV szyfruje połączenie identycznie. Wydaj różnicę na zdjęcia albo na treść.

Pułapka wygasania

Oto scenariusz awarii, o którym nikt nie uprzedza. Certyfikaty Let's Encrypt są ważne 90 dni i mają odnawiać się automatycznie. Gdy automatyzacja jest ustawiona poprawnie, nigdy o niej nie myślisz. Gdy nie jest - a zdarza się to po migracji serwera albo zmianie konfiguracji - certyfikat po prostu wygasa pewnego ranka.

Wygasły certyfikat jest gorszy niż jego brak. Zamiast małego napisu "Niezabezpieczone" przeglądarka pokazuje czerwoną pełnoekranową planszę, którą odwiedzający musi świadomie kliknąć. Prawie nikt tego nie robi. Strona jest praktycznie niedostępna, dopóki ktoś tego nie zauważy.

Dlatego pilnowanie terminu należy do każdej listy kontrolnej utrzymania - naszą opisujemy w tekstach stała opieka nad stroną i wsparcie po uruchomieniu. Jeśli prowadzisz stronę sam, ustaw przypomnienie w kalendarzu i raz w miesiącu sprawdź kłódkę.

Instalacja to nie ostatni krok

Certyfikat włączony w panelu to dopiero połowa roboty. Potem muszą nastąpić dwie rzeczy, inaczej strona wyląduje w dziwnym stanie pośrednim:

1. Stałe przekierowanie z http na https, żeby stary adres nie serwował dalej niezaszyfrowanej kopii każdej podstrony.
2. Naprawienie mieszanej treści - obrazków, skryptów lub fontów wciąż ładowanych przez http. Przeglądarka pokazuje wtedy przekreśloną kłódkę, mimo że certyfikat jest w porządku.

Obie poprawki są jednorazowe, ale to właśnie ich pominięcie sprawia, że certyfikat jest, a strona i tak wygląda na niebezpieczną. Jeśli przenosisz istniejącą stronę na https, potraktuj to jak małą migrację i zachowaj przekierowania - lista z tekstu migracja strony bez utraty SEO ma tu pełne zastosowanie.

Co naprawdę dzieje się, gdy przeglądarka się łączy

Kryptografia nie jest Ci potrzebna, ale ogólny obraz pomaga w rozmowie z hostingiem, który twierdzi, że wszystko jest w porządku. Wymiana trwa ułamek sekundy i ma trzy kroki.

1. Przeglądarka prosi serwer o przedstawienie się, a serwer odsyła certyfikat.
2. Przeglądarka sprawdza, kto go wystawił, czy ten wystawca jest zaufany, czy certyfikat jest jeszcze ważny i czy został wydany dokładnie dla tej domeny.
3. Jeśli wszystko się zgadza, obie strony ustalają jednorazowy klucz i od tego momentu wszystko jest szyfrowane.

Niepowodzenie którejkolwiek z tych kontroli daje ostrzeżenie - dlatego ten sam czerwony ekran może oznaczać cztery różne problemy: wygasły certyfikat, wystawiony dla innej domeny, od niezaufanego urzędu albo serwer, który w ogóle nie został skonfigurowany, by go wysyłać. Zgłaszając problem, wskazanie, który z czterech to jest, oszczędza wszystkim dzień.

Pułapka www

Certyfikat jest wystawiany dla konkretnych adresów. Certyfikat obejmujący tylko twojafirma.pl wywoła ostrzeżenie na www.twojafirma.pl i odwrotnie - mimo że odwiedzający widzi to jako tę samą stronę. Ktoś wpisuje adres z www, trafia na czerwony ekran i wyciąga wniosek, że firmie nie można ufać.

Rozwiązanie: objąć certyfikatem oba warianty, a potem ustawić trwałe przekierowanie z jednego na drugi, żeby serwowana była dokładnie jedna wersja. To kilka minut przy konfiguracji i eliminuje klasę problemów, które później trudno zdiagnozować - bo strona wygląda idealnie spod tego adresu, który akurat sam wpisujesz.

Ten sam problem duplikacji ma znaczenie dla wyszukiwarek, nie tylko dla kłódki: dwa adresy z identyczną treścią dzielą między siebie sygnały. To jeden z punktów naszej listy startowej w tekście co zrobić po uruchomieniu strony.

Jest pokrewna pułapka z subdomenami i kopiami testowymi. Wersja testowa zostawiona online pod adresem w rodzaju test.twojafirma.pl zwykle nie ma ani certyfikatu, ani zabezpieczenia przed indeksowaniem - więc potrafi jednocześnie straszyć odwiedzających i konkurować z prawdziwą stroną w wynikach. Gdy projekt się kończy, taką kopię trzeba usunąć albo zamknąć, a nie po prostu o niej zapomnieć.

Czy SSL spowalnia stronę?

Kiedyś był to realny zarzut, a dziś jest odwrotnie. Nowoczesne protokoły sprawiają, że połączenia szyfrowane są praktycznie tak samo szybkie jak nieszyfrowane, a nowsze protokoły transferu, które naprawdę przyspieszają stronę, działają wyłącznie po https. W praktyce przejście na certyfikat czyni większość stron minimalnie szybszymi, a nie wolniejszymi.

Jeśli Twoja strona jest wolna, certyfikat nie jest winowajcą - prawie zawsze są nim nieoptymalizowane zdjęcia i nadmiar skryptów. Gdzie naprawdę uciekają sekundy, rozkładamy w tekście szybkość ładowania strony.

Jak sprawdzić własną stronę w minutę

• Otwórz stronę w Chrome i spójrz na pasek adresu: kłódka oznacza, że certyfikat działa; "Niezabezpieczone" - że nie.
• Wpisz adres z http:// z przodu i naciśnij enter - powinno Cię automatycznie przerzucić na https.
• Kliknij kłódkę, żeby zobaczyć datę wygaśnięcia. Jeśli zostały mniej niż dwa tygodnie, a odnawianie jest ręczne, zajmij się tym teraz.
• Sprawdź też podstronę, nie tylko stronę główną - mieszana treść często kryje się w galerii albo we wpisie blogowym.
• Otwórz stronę także na telefonie. Przeglądarki mobilne czasem pokazują ostrzeżenie inaczej, a to właśnie tę wersję zobaczy większość Twoich odwiedzających.
• Jeśli sklep albo blog mają osobny adres, sprawdź także je - każda subdomena potrzebuje własnego ważnego certyfikatu.

Najczęstsze pytania

Czy darmowy certyfikat jest gorszy od płatnego?

Pod względem szyfrowania nie - połączenie jest chronione identycznie. Różnice dotyczą weryfikacji firmy i gwarancji finansowej dołączanej do certyfikatów komercyjnych. Dla typowej strony małej firmy darmowy certyfikat DV jest właściwym wyborem.

Czy przejście na https zaszkodzi moim pozycjom w Google?

Nie, jeśli przekierowania są zrobione poprawnie. Każdy adres http musi trwale wskazywać swój odpowiednik https, jeden do jednego. Zrobione tak, pozycje przenoszą się w kilka dni. Zrobione niedbale - kończysz z dwiema wersjami tej samej strony konkurującymi ze sobą.

Kłódka pokazuje ostrzeżenie - co to znaczy?

Prawie zawsze to mieszana treść: sama strona ładuje się przez https, ale jakiś element - zwykle obrazek albo stary skrypt - wciąż przez http. Znajdź winowajcę i zmień jego adres. Poprawka jest drobna, ale dopóki jej nie zrobisz, przeglądarka będzie oznaczać stronę.

Czy SSL chroni stronę przed hakerami?

Nie i warto powiedzieć to wprost. SSL zabezpiecza dane w tranzycie; nie robi nic ze słabymi hasłami, przestarzałymi wtyczkami czy brakiem kopii zapasowych. To jedna warstwa z kilku - resztę opisujemy w tekście bezpieczeństwo strony internetowej.

Czy potrzebuję osobnego certyfikatu dla każdej subdomeny?

Albo osobny certyfikat na każdą subdomenę, albo jeden certyfikat wildcard obejmujący wszystkie. Let's Encrypt wystawia oba warianty bezpłatnie, a większość paneli hostingowych wybiera za Ciebie. Jeśli masz sklep na jednej subdomenie, a bloga na innej, warto ustawić to raz i porządnie.

Hosting twierdzi, że certyfikat jest aktywny, a ostrzeżenie nadal jest

Trzy typowe przyczyny w kolejności prawdopodobieństwa: brakuje przekierowania z http, więc nadal serwowana jest stara, nieszyfrowana wersja; certyfikat obejmuje tylko jeden z dwóch wariantów adresu, z www lub bez; albo na stronie jest element ładowany przez http. Najpierw spójrz na pasek adresu - jeśli nadal widnieje tam http, chodzi o przekierowanie.

Czy muszę odnawiać go ręcznie co 90 dni?

Nie - przy poprawnej konfiguracji odnawianie jest automatyczne i nigdy tego nie zauważasz. Ręczne odnawianie to sygnał, że coś ustawiono naprędce, zwykle po migracji. Jeśli nikt nie potrafi wskazać, gdzie skonfigurowano automatyczne odnawianie, przyjmij, że go nie ma, i ustaw przypomnienie w kalendarzu, dopóki to nie zostanie naprawione.

Czy certyfikat obejmuje także pocztę?

Nie - szyfrowanie strony i bezpieczeństwo poczty to osobne sprawy. Poczta potrzebuje własnej konfiguracji na domenie, żeby wiadomości nie były traktowane jak spam. Tę stronę opisujemy w tekście firmowy e-mail na własnej domenie.