Aktualizacja: październik 2026
- Pytanie
- Co to jest certyfikat SSL i czy moja strona go potrzebuje
- Krótko
- Cyfrowy dokument, dzięki któremu strona działa przez https i szyfruje połączenie
- Darmowy czy płatny?
- Dla wizytówki, bloga i małego sklepu wystarczy darmowy certyfikat DV
- Ważność
- Od 15 marca 2026 maksymalnie 200 dni, potem coraz krócej. Odnawianie musi być automatyczne
Szybka odpowiedź
Certyfikat SSL (dziś technicznie TLS) to plik zainstalowany na serwerze, który potwierdza, że łączysz się z właściwą domeną, i pozwala zaszyfrować dane przesyłane między przeglądarką a stroną. Dzięki niemu adres zaczyna się od https, a przeglądarka nie pokazuje komunikatu „Niezabezpieczona”. Szyfrowanie w darmowym certyfikacie Let’s Encrypt jest tak samo mocne jak w płatnym, a płatne certyfikaty OV i EV dodatkowo potwierdzają dane firmy. Od 15 marca 2026 publiczne certyfikaty mogą być ważne najwyżej 200 dni, więc liczy się automatyczne odnawianie.
Ten artykuł łączy dwa wcześniejsze wpisy o SSL i wyjaśnia temat od podstaw: czym jest certyfikat, czy jest obowiązkowy, jakie są rodzaje i kiedy warto za niego zapłacić. Jeśli Twoja strona już wyświetla komunikat „Niezabezpieczona” i chcesz go usunąć, przejdź od razu do instrukcji strona niezabezpieczona: jak włączyć HTTPS krok po kroku. Tutaj nie powtarzam tamtych kroków.
Co to jest certyfikat SSL?
Nazwa SSL (Secure Sockets Layer) jest historyczna. Protokoły SSL zostały dawno wycofane jako niebezpieczne, a połączenia szyfruje dziś ich następca, TLS (w wersjach 1.2 i 1.3). W mowie potocznej, w panelach hostingu i w ofertach nadal mówi się jednak „certyfikat SSL” i to jest ta sama rzecz co „certyfikat TLS”.
Certyfikat zawiera między innymi:
- nazwę domeny (lub kilku domen), dla której został wydany, np. twojafirma.pl i www.twojafirma.pl,
- klucz publiczny serwera, potrzebny do zestawienia szyfrowanego połączenia,
- wystawcę, czyli urząd certyfikacji (CA), któremu ufają przeglądarki, np. Let’s Encrypt, DigiCert, Sectigo czy Certum,
- okres ważności – datę od i do,
- w certyfikatach OV i EV również dane organizacji: nazwę firmy, kraj, miejscowość.
Jak działa certyfikat SSL – w uproszczeniu
- Przeglądarka łączy się z serwerem
Wpisujesz adres https://twojafirma.pl. Serwer odsyła swój certyfikat.
- Przeglądarka sprawdza certyfikat
Czy wystawił go zaufany urząd certyfikacji, czy nie wygasł i czy pasuje do domeny w pasku adresu. Jeśli coś się nie zgadza, zobaczysz ostrzeżenie zamiast strony.
- Strony uzgadniają klucze
Przeglądarka i serwer ustalają jednorazowe klucze sesji. Robią to tak, że nikt podsłuchujący sieć (np. w publicznym Wi-Fi) nie może ich odtworzyć.
- Dane płyną zaszyfrowane
Hasła, treść formularzy, dane do logowania i zamówienia są nieczytelne dla osób trzecich i nie da się ich niezauważalnie zmienić po drodze.
Certyfikat potwierdza połączenie z daną domeną, a nie intencje jej właściciela. Strony wyłudzające dane też mają https, bo darmowy certyfikat DV może dostać każdy, kto kontroluje domenę. Zawsze patrz na sam adres, a nie tylko na to, czy połączenie jest szyfrowane.
Czy certyfikat SSL jest obowiązkowy?
W polskim prawie nie ma jednego przepisu w rodzaju „każda strona musi mieć SSL”. W praktyce jednak brak https oznacza dziś kłopoty z kilku stron jednocześnie:
- RODO. Jeśli strona zbiera dane osobowe (formularz kontaktowy, zapis na newsletter, konto klienta, zamówienie), administrator musi zastosować odpowiednie środki bezpieczeństwa (art. 32 RODO), a szyfrowanie jest w nim wprost wymienione jako przykład. Przesyłanie formularzy otwartym tekstem trudno w tej sytuacji obronić.
- Przeglądarki. Chrome, Edge, Firefox i Safari oznaczają strony bez https jako niezabezpieczone. Chrome od wersji 154 (październik 2026) ma domyślnie włączoną opcję „Zawsze używaj bezpiecznych połączeń” dla stron publicznych, czyli przed pierwszym wejściem na stronę bez https wyświetla użytkownikowi ostrzeżenie. Dla firmy oznacza to, że część klientów w ogóle nie dotrze do treści.
- Google. Google od lat traktuje https jako jeden z elementów dobrego doświadczenia na stronie. Nie jest to sygnał, który sam wyniesie stronę na pierwsze miejsce, ale brak https to zbędne ryzyko i gorsze wrażenie w wynikach.
- Płatności i integracje. Bramki płatności, logowanie przez Google, wiele wtyczek i nowoczesne funkcje przeglądarek (np. lokalizacja, powiadomienia) działają tylko na https.
Wniosek: formalnie nie zawsze, praktycznie tak. Darmowy certyfikat jest dostępny w niemal każdym hostingu, więc nie ma powodu, żeby strona firmowa działała bez niego.
Rodzaje certyfikatów SSL: DV, OV i EV
Certyfikaty różnią się tym, co sprawdza urząd certyfikacji przed wydaniem. Siła szyfrowania jest we wszystkich taka sama.
| Typ | Co jest weryfikowane | Czas wydania | Dla kogo |
|---|---|---|---|
| DV (Domain Validation) | Tylko kontrola nad domeną (plik na serwerze, rekord DNS lub e-mail) | Minuty, automatycznie | Wizytówki, blogi, małe sklepy, większość stron firmowych |
| OV (Organization Validation) | Domena oraz istnienie firmy w rejestrach (np. KRS, CEIDG), dane kontaktowe | Zwykle od jednego do kilku dni | Firmy, które chcą mieć dane organizacji w certyfikacie, panele klientów, systemy B2B |
| EV (Extended Validation) | Rozszerzona weryfikacja firmy, osoby upoważnionej i dokumentów | Zwykle kilka dni lub dłużej | Banki, instytucje finansowe, gdy wymaga tego regulamin lub partner |
Starsze artykuły (w tym poprzednia wersja tego wpisu) obiecują, że certyfikat EV wyświetla nazwę firmy lub zielony pasek obok adresu. Główne przeglądarki zrezygnowały z tego w 2019 roku. Dane z EV i OV zobaczysz dopiero po kliknięciu ikony obok adresu i otwarciu szczegółów certyfikatu. Chrome nie pokazuje nawet kłódki – od 2023 roku w tym miejscu jest neutralna ikona ustawień strony. Dlatego EV kupuje się dziś głównie z powodów formalnych, a nie marketingowych.
Rodzaje certyfikatów według zakresu domen
- Na jedną domenę – zwykle obejmuje wersję z www i bez www.
- Wildcard (*.twojafirma.pl) – wszystkie subdomeny jednego poziomu, np. sklep., panel., poczta. Let’s Encrypt wydaje takie certyfikaty, ale wymaga potwierdzenia przez rekord DNS.
- Wielodomenowy (SAN) – kilka różnych domen w jednym certyfikacie, np. twojafirma.pl i twojafirma.com.pl.
Darmowy czy płatny certyfikat SSL?
Dla większości stron firmowych darmowy certyfikat Let’s Encrypt (albo darmowy certyfikat dostarczany automatycznie przez hosting) w zupełności wystarczy. Szyfrowanie jest identyczne, przeglądarki ufają mu tak samo, a odnawianie odbywa się bez Twojego udziału.
| Cecha | Darmowy DV (Let’s Encrypt, AutoSSL) | Płatny DV | Płatny OV / EV |
|---|---|---|---|
| Siła szyfrowania | Taka sama | Taka sama | Taka sama |
| Dane firmy w certyfikacie | Nie | Nie | Tak |
| Odnawianie | Automatyczne w hostingu | Zależy od sprzedawcy i hostingu | Wymaga okresowej ponownej weryfikacji |
| Pomoc techniczna sprzedawcy | Brak, pomaga hosting | Zwykle tak | Tak |
| Gwarancja finansowa wystawcy | Nie | Często tak, w ograniczonej kwocie | Tak, zwykle wyższa |
Płatny certyfikat ma sens, gdy:
- wymaga go przetarg, bank, operator płatności albo partner biznesowy,
- chcesz, żeby w szczegółach certyfikatu były dane Twojej firmy (OV/EV), np. przy panelu klienta lub systemie B2B,
- serwer lub urządzenie nie obsługuje automatycznego wydawania certyfikatów (protokołu ACME), a ktoś musi je instalować ręcznie i chcesz mieć wsparcie sprzedawcy.
Uważaj na oferty, w których płatny certyfikat jest „obowiązkowym dodatkiem” do hostingu za kilkaset złotych rocznie dla zwykłej wizytówki. Zanim zapłacisz, zapytaj, czy hosting nie ma darmowego Let’s Encrypt. Więcej o wyborze serwera piszę w tekście jak działa hosting i jaki wybrać do WordPressa.
Ważność certyfikatu SSL: od 2026 roku coraz krótsza
W kwietniu 2025 roku CA/Browser Forum, czyli organizacja zrzeszająca urzędy certyfikacji i twórców przeglądarek, przyjęło uchwałę SC-081. Stopniowo skraca ona maksymalny okres ważności publicznych certyfikatów TLS:
| Certyfikat wydany | Maksymalna ważność |
|---|---|
| do 14 marca 2026 | 398 dni (około 13 miesięcy) |
| od 15 marca 2026 | 200 dni |
| od 15 marca 2027 | 100 dni |
| od 15 marca 2029 | 47 dni |
Równolegle skraca się czas, przez jaki urząd certyfikacji może korzystać z wcześniejszego potwierdzenia kontroli nad domeną. Docelowo trzeba będzie je powtarzać bardzo często, więc ręczne odnawianie przestanie mieć sens.
Let’s Encrypt wydaje obecnie certyfikaty ważne 90 dni i zapowiedział dalsze skracanie: od 10 lutego 2027 domyślnie 64 dni, a od 16 lutego 2028 domyślnie 45 dni. Przy automatycznym odnawianiu w hostingu nie musisz nic robić.
Jeśli masz darmowy certyfikat odnawiany automatycznie przez hosting, nic się nie zmienia. Jeśli kupujesz płatny certyfikat „na rok” i ktoś instaluje go ręcznie, od marca 2026 musi to zrobić co najmniej dwa razy w roku, a od 2027 jeszcze częściej. Zapytaj sprzedawcę lub hosting, czy obsługuje automatyczną instalację. Let’s Encrypt nie wysyła już e-maili o zbliżającym się wygaśnięciu certyfikatu, dlatego warto ustawić automatyczne powiadomienia o awarii strony, które wychwycą też problem z certyfikatem.
Jak sprawdzić, czy strona ma certyfikat SSL i do kiedy jest ważny?
- Spójrz na adres
Adres powinien zaczynać się od
https://, a przeglądarka nie może wyświetlać napisu „Niezabezpieczona”. - Kliknij ikonę po lewej stronie adresu
W Chrome i Edge wybierz „Połączenie jest bezpieczne”, a potem „Certyfikat jest ważny”. Zobaczysz, dla jakiej domeny wydano certyfikat, kto go wystawił i do kiedy jest ważny. W Firefoksie kliknij kłódkę, potem „Połączenie zabezpieczone” i „Więcej informacji”.
- Sprawdź wersję z www i bez www
Wpisz obie. Częsty błąd to certyfikat tylko na jedną z nich, przez co część odwiedzających widzi ostrzeżenie.
- Zwróć uwagę na komunikaty błędów
NET::ERR_CERT_DATE_INVALIDzwykle oznacza wygasły certyfikat (albo złą datę w komputerze użytkownika).NET::ERR_CERT_COMMON_NAME_INVALID– certyfikat wydany dla innej domeny. Kłódka z ostrzeżeniem lub „niezabezpieczona” mimo https to najczęściej treści mieszane, czyli obrazy lub skrypty wczytywane po http. Jak to naprawić, opisuję w poradniku o włączaniu HTTPS.
Certyfikat to tylko jeden element bezpieczeństwa. Równie ważne są aktualizacje, hasła i kopie zapasowe – zobacz, jak zabezpieczyć stronę WordPress przed atakami. Jeśli dopiero zaczynasz, pomoże też wpis co to jest hosting i domena.
Chcesz mieć pewność, że certyfikat na Twojej stronie sam się odnawia?
Sprawdzę certyfikat, przekierowania i treści mieszane, ustawię automatyczne odnawianie i monitoring. Przy nowej stronie firmowej https jest u mnie w standardzie. Pomagam zdalnie albo na miejscu w Sieradzu i okolicach.
Najczęstsze pytania
Czym różni się SSL od TLS?
TLS to nowsza i bezpieczniejsza wersja protokołu, który zastąpił SSL. Stare protokoły SSL są wycofane, ale nazwa „certyfikat SSL” została w użyciu. Certyfikat SSL i certyfikat TLS to w praktyce to samo.
Czy darmowy certyfikat SSL jest gorszy od płatnego?
Nie pod względem szyfrowania – jest identyczne. Płatne certyfikaty OV i EV dodatkowo potwierdzają dane firmy i dają wsparcie sprzedawcy oraz gwarancję. Dla wizytówki, bloga czy małego sklepu darmowy Let’s Encrypt wystarczy.
Czy certyfikat SSL jest obowiązkowy?
Nie ma przepisu nakazującego go każdej stronie, ale jeśli zbierasz dane osobowe, RODO wymaga odpowiednich zabezpieczeń, a przeglądarki ostrzegają przed stronami bez https. W praktyce strona firmowa powinna go mieć zawsze.
Jak długo jest ważny certyfikat SSL?
Certyfikaty wydane od 15 marca 2026 mogą być ważne najwyżej 200 dni, od 15 marca 2027 – 100 dni, a od 15 marca 2029 – 47 dni. Let’s Encrypt wydaje obecnie certyfikaty na 90 dni i odnawia je automatycznie.
Czy certyfikat EV pokazuje nazwę firmy w pasku adresu?
Już nie. Przeglądarki zrezygnowały z wyróżniania EV w pasku adresu w 2019 roku. Dane firmy widać dopiero w szczegółach certyfikatu po kliknięciu ikony obok adresu.
Czy https oznacza, że strona jest bezpieczna?
Oznacza, że połączenie jest szyfrowane i prowadzi do domeny z paska adresu. Nie gwarantuje uczciwości właściciela strony, bo fałszywe sklepy i strony wyłudzające dane też mają certyfikaty.
Powiązane wpisy
