Certyfikat SSL to plik zainstalowany na serwerze, który szyfruje połączenie między Twoją stroną a przeglądarką odwiedzającego. Efekt widoczny gołym okiem: adres zaczyna się od https:// zamiast http://. Uwaga na drobiazg, który często myli - Chrome i Safari nie pokazują już kłódki przy adresie, więc jej brak nie znaczy, że coś jest nie tak. Dla małej firmy SSL jest dziś de facto obowiązkowy - nie dlatego, że prawo tego wprost wymaga, ale dlatego, że przeglądarki oznaczają takie strony jako “Niezabezpieczone” tuż przy adresie. A potencjalny klient zamyka taką stronę zanim zdąży przeczytać pierwszą linijkę.
Co właściwie robi certyfikat SSL i dlaczego Cię to dotyczy
Zacznijmy od mechanizmu, bo nazwa brzmi technicznie, a samo działanie jest proste.
Bez SSL dane przesyłane między przeglądarką odwiedzającego a Twoim serwerem idą “otwartym tekstem”. Ktoś w tej samej sieci Wi-Fi - na przykład w kawiarni - mógłby je przechwycić. Po zainstalowaniu SSL dane są zaszyfrowane, więc dla ewentualnego podsłuchiwacza wyglądają jak losowy bełkot.
Jeśli nie zbierasz danych klientów na stronie, brzmi to jak odległy problem. Tylko że przeglądarki tego nie sprawdzają - one sprawdzają sam fakt posiadania certyfikatu. Brak certyfikatu? Klient zobaczy ekran z ostrzeżeniem, zanim zobaczy Twoją ofertę.
Konkretny przykład: prowadzisz zakład stolarski i ktoś trafił na Twoją stronę przez Google. Widzi “Niezabezpieczone”. Co zrobi? W większości przypadków kliknie “wróć” i przejdzie do kolejnego wyniku. Nie dlatego, że jesteś mniej wiarygodny - tylko dlatego, że przeglądarka powiedziała mu, że jest ryzyko.
Kiedy certyfikat SSL jest absolutnie konieczny
Są sytuacje, gdzie SSL przestaje być “dobrą praktyką”, a staje się wymogiem wynikającym wprost z przepisów lub technicznych ograniczeń.
Zbierasz dane osobowe. Formularz kontaktowy z imieniem i e-mailem, zapis na newsletter, logowanie do konta - to dane osobowe i masz obowiązek je chronić. RODO nie wymienia SSL z nazwy, ale szyfrowanie połączenia to jeden z podstawowych środków technicznych ochrony danych. Bez niego trudno mówić o “odpowiednim poziomie bezpieczeństwa”, o którym mówi art. 32 RODO.
Prowadzisz sklep internetowy. Jeśli przez stronę przechodzą płatności, SSL jest wymagany przez standardy kart płatniczych (PCI DSS). Bez certyfikatu żaden poważny dostawca płatności - Przelewy24, PayU, Stripe - nie zintegruje się z Twoim sklepem.
Chcesz być widoczny w Google. Google od 2014 roku traktuje HTTPS jako jeden z sygnałów przy ustalaniu pozycji w wynikach wyszukiwania (Google Security Blog, 2014). To nie gwarancja wyższej pozycji, ale brak SSL to sygnał działający przeciwko Tobie.
Używasz Google Chrome. Chrome od wersji 68 (2018) oznacza strony bez SSL jako “Niezabezpieczone” bezpośrednio w pasku adresu. Firefox robi to samo. Z każdą aktualizacją przeglądarki te ostrzeżenia są coraz bardziej wyeksponowane.
Kiedy możesz się zastanowić, ale i tak warto
Dostaję pytania: “Mam jedną stronę wizytówkową, bez formularzy, bez sklepu - naprawdę muszę?”
Technicznie - przy braku danych osobowych i płatności - nie ma przepisu, który nakazuje Ci SSL. Ale szyfrowane połączenie to już standard, którego brak klienci zauważają - przeglądarka sama im to pokazuje. Nawet jeśli sam ostrzeżenia nie widzisz, bo masz stronę otwartą w zakładce od tygodnia - nowy odwiedzający zobaczy je przy pierwszym wejściu.
Koszt najtańszego certyfikatu to kilkadziesiąt złotych rocznie. Albo zero, jeśli Twój hosting oferuje bezpłatny Let’s Encrypt. Przy takim zestawieniu trudno mi znaleźć sytuację, gdzie rezygnacja z SSL się opłaca.
Ile kosztuje certyfikat SSL - konkretne kwoty
Zależy od rodzaju certyfikatu. Poniżej 4 opcje, które spotykam najczęściej przy stronach małych firm.
| Typ certyfikatu | Dla kogo | Koszt orientacyjny |
|---|---|---|
| Let’s Encrypt (DV) | Strona wizytówkowa, mały sklep | 0 zł - często w cenie hostingu |
| DV (Domain Validation) płatny | Strona firmowa, blog | 50-150 zł rocznie |
| OV (Organization Validation) | Firmy, które chcą potwierdzenia nazwy w certyfikacie | 300-600 zł rocznie |
| EV (Extended Validation) | Banki, duże e-commerce | 1000-3000 zł rocznie |
Let’s Encrypt to bezpłatny certyfikat wydawany automatycznie przez organizację non-profit. Większość porządnych hostingów - nazwa.pl, LH.pl, cyber_Folks - instaluje go automatycznie lub jednym kliknięciem w panelu. Chroni tak samo jak płatny certyfikat DV. Różnica jest tylko w nazwie organizacji wystawiającej.
Certyfikat DV (Domain Validation) - wystawca sprawdza tylko, że masz kontrolę nad domeną. Nie sprawdza, kim jesteś jako firma. Dla strony wizytówkowej lub małego sklepu to zupełnie wystarczający poziom.
Certyfikat OV (Organization Validation) - wystawca weryfikuje też dane firmy z rejestru. Klient może sprawdzić szczegóły certyfikatu w przeglądarce i zobaczyć pełną nazwę Twojej firmy. Dla większości małych firm to nadmiarowe - klientów rzadko stać na taki poziom dociekliwości przy zwykłej wizycie na stronie.
Certyfikat EV - zostawiam go dla banków i dużych sklepów. Dla warsztatu czy biura rachunkowego to niepotrzebny wydatek.
Jak sprawdzić, czy Twoja strona ma certyfikat SSL
Otwórz stronę w przeglądarce i patrz na pasek adresu.
- Adres zaczyna się od
https://i nie ma żadnego ostrzeżenia - certyfikat jest zainstalowany i działa. - Adres zaczyna się od
http://albo widzisz napis “Niezabezpieczone” - certyfikatu nie ma lub jest błędnie skonfigurowany. - Nie szukaj kłódki. W Firefoksie nadal jest, w Chrome zastąpiła ją ikona ustawień połączenia, a Safari nie pokazuje jej wcale - szczegóły znajdziesz tam w menu przeglądarki. Pewnym sygnałem jest brak ostrzeżenia, nie konkretna ikona.
Sam brak ostrzeżenia nie wystarczy. Zdarzają się sytuacje, gdzie certyfikat jest zainstalowany, ale część elementów strony - zdjęcia, skrypty - wciąż ładuje się po http://. Przeglądarka wtedy oznacza połączenie jako niepełne albo w ogóle blokuje taką treść. Jeśli masz wątpliwości, wejdź na bezpłatne narzędzie SSL Labs (ssllabs.com/ssltest/) - wpisujesz adres swojej strony i dostajesz pełny raport z oceną od A+ do F.
Jak zainstalować SSL - krok po kroku (bez wiedzy technicznej)
Jeśli masz hosting z panelem cPanel lub DirectAdmin:
- Zaloguj się do panelu hostingowego.
- Poszukaj sekcji “SSL/TLS” lub “Certyfikaty SSL”.
- Wyszukaj opcję “Let’s Encrypt” lub “AutoSSL”.
- Kliknij “Zainstaluj” przy swojej domenie.
- Poczekaj 1-5 minut. Gotowe.
Jeśli strona jest na WordPressie:
Po zainstalowaniu certyfikatu przez hosting musisz jeszcze upewnić się, że WordPress przekierowuje wszystkich odwiedzających z http:// na https://. Robi to albo wtyczka (np. Really Simple SSL - instalacja zajmuje minutę), albo zmiana jednej linijki w pliku .htaccess. Jeśli nie wiesz, o czym mówię - napisz do hostingodawcy, zrobią to za Ciebie.
Jeśli korzystasz z zewnętrznego dostawcy strony (Wix, Squarespace):
SSL jest tam włączony automatycznie. Nic nie musisz robić.
Jeśli strona jest zbudowana przez kogoś innego:
Napisz do hostingodawcy jedną wiadomość: “Proszę o zainstalowanie bezpłatnego certyfikatu Let’s Encrypt dla domeny [twojadomena.pl]”. W większości firm hostingowych zrobią to w ciągu kilku godzin.
Certyfikat SSL a RODO - co konkretnie ryzykujesz bez niego
Art. 32 RODO mówi, że administrator danych musi wdrożyć “odpowiednie środki techniczne” chroniące dane osobowe. Szyfrowanie połączenia to jeden z przykładów wprost wymienianych w tym artykule.
Jeśli na Twojej stronie jest formularz kontaktowy, nie masz SSL, a dane klienta zostaną przechwycone - masz problem. Nie tylko wizerunkowy, ale potencjalnie finansowy, jeśli Urząd Ochrony Danych Osobowych wszcząłby postępowanie.
Nie straszę. Stawiam sprawę jasno: przy koszcie 0 zł za Let’s Encrypt trudno mi zrozumieć, dlaczego ktokolwiek ryzykuje.
FAQ - certyfikat SSL dla małej firmy
Czy certyfikat SSL muszę odnawiać?
Tak. Certyfikaty SSL mają termin ważności, który w ostatnich latach się skraca: certyfikaty wydane od 15 marca 2026 mogą być ważne najwyżej 200 dni, a Let’s Encrypt działa w cyklu 90-dniowym. Dobry hosting odnawia Let’s Encrypt automatycznie, więc nie musisz o tym pamiętać. Przy płatnych certyfikatach dostajesz przypomnienie e-mailem przed wygaśnięciem.
Czy szyfrowane połączenie oznacza, że strona jest bezpieczna?
Szyfrowane połączenie oznacza dokładnie tyle, że dane między przeglądarką a serwerem są zaszyfrowane. Nie oznacza, że strona nie ma wirusów, nie jest scamem ani że właściciel jest uczciwy. Cyberprzestępcy też mogą mieć SSL - i mają. Kłódka to jeden element bezpieczeństwa, nie jego całość.
Mam stronę od 5 lat i nigdy nie miałem SSL - czy to problem?
Jeśli na stronie nie ma formularzy ani sklepu - prawdopodobnie nie spotkały Cię żadne konsekwencje prawne. Ale odwiedzający przez te lata widzieli ostrzeżenie przeglądarki. Warto zainstalować SSL teraz: to zmiana na kilkanaście minut, a efekt widoczny natychmiast.
Czy po dodaniu SSL muszę coś zmieniać w Google Analytics lub Google Search Console?
Tak, jeśli wcześniej skonfigurowałeś narzędzia dla wersji http://. W Google Search Console dodaj osobną właściwość dla https:// - albo skorzystaj z właściwości domeny, która obejmuje obie wersje. W Google Analytics upewnij się, że domyślny adres w ustawieniach wskazuje na https://. To zajmuje 10-15 minut i jest ważne, żeby dane nie “rozjechały się” między dwiema wersjami adresu.
Jeśli nie jesteś pewien, czy Twoja strona ma poprawnie skonfigurowany SSL - i przy okazji chcesz wiedzieć, co jeszcze może odstraszać klientów zanim zdążą przeczytać Twoją ofertę - zamów audyt strony. Dostajesz ode mnie konkretną listę problemów z wyjaśnieniem, co naprawić w pierwszej kolejności.
Wolisz najpierw zapytać? Napisz - odpiszę bez marketingowego owijania w bawełnę.
Potrzebujesz takiej strony dla swojej firmy?
Opisz w dwóch zdaniach, czym się zajmujesz - odezwę się w 24 godziny z konkretną wyceną. Bez zobowiązań.
Porozmawiajmy o Twojej stronie →