Certyfikat SSL – co oznacza kłódka przy adresie i dlaczego Twoja strona musi mieć HTTPS

Kłódka przy adresie strony albo napis „Niezabezpieczona” – ten drobny szczegół potrafi zdecydować, czy klient zostanie na Twojej stronie, czy wróci do wyników Google. Za wszystkim stoi certyfikat SSL. W tym artykule wyjaśniamy prostym językiem, czym jest, co oznacza kłódka (i czego nie oznacza), co się zmieniło w Chrome w 2026 roku i dlaczego certyfikat musi się odnawiać sam.

Najważniejsze w skrócie

• SSL (dziś technicznie TLS) szyfruje połączenie między przeglądarką a stroną. Strona z certyfikatem działa pod adresem https://.
• Bez certyfikatu dane z formularzy – telefon, e-mail, hasło – przesyłane są otwartym tekstem.
• Chrome od 2018 roku oznacza strony bez HTTPS jako „Niezabezpieczona”, a od wersji 154 (październik 2026) przed pierwszym wejściem na publiczną stronę bez HTTPS pokazuje ostrzeżenie.
• Kłódka nie oznacza, że strona jest uczciwa – tylko że połączenie jest szyfrowane. Strony oszustów też mają certyfikaty.
• HTTPS jest sygnałem rankingowym Google od 2014 roku.
• Od 15 marca 2026 certyfikat jest ważny maksymalnie 200 dni, a od 2029 – 47 dni. Odnawianie musi być automatyczne.
• Podstawowy certyfikat jest darmowy (np. Let's Encrypt) i na większości hostingów włącza się go jednym kliknięciem.

Co to jest certyfikat SSL?

Certyfikat SSL to cyfrowy „dowód tożsamości” strony, który pozwala przeglądarce nawiązać z nią szyfrowane połączenie. Dzięki niemu nikt po drodze – np. w tej samej sieci Wi-Fi w kawiarni – nie odczyta ani nie podmieni danych, które przesyłasz.

Nazwa „SSL” to w zasadzie przyzwyczajenie. Sam protokół SSL od dawna nie jest używany – zastąpił go nowszy i bezpieczniejszy TLS. W praktyce, gdy ktoś mówi „certyfikat SSL”, chodzi właśnie o certyfikat TLS. My też dla prostoty piszemy SSL.

HTTP i HTTPS – czym się różnią?

	HTTP	HTTPS (z certyfikatem)
Szyfrowanie połączenia	brak – dane lecą otwartym tekstem	tak
Co widzi użytkownik Chrome	„Niezabezpieczona”, od Chrome 154 także ostrzeżenie przed wejściem	zwykły adres, bez ostrzeżeń
Formularze, logowanie, płatności	dane można podejrzeć lub podmienić	dane są chronione w drodze
Google	brak sygnału HTTPS	lekki sygnał rankingowy od 2014 roku

Co widzi klient, gdy strona nie ma SSL?

Google od lat konsekwentnie „wypycha” strony bez HTTPS. Najpierw Chrome ostrzegał tylko na stronach z polami na hasło i dane karty, a od Chrome 68 (lipiec 2018) każda strona HTTP dostaje w pasku adresu napis „Niezabezpieczona”.

W 2026 roku Google poszedł dalej. W Chrome 154 (październik 2026) domyślnie włącza się ustawienie „Zawsze używaj bezpiecznych połączeń” w wersji dla stron publicznych. W praktyce: zanim użytkownik po raz pierwszy wejdzie na publiczną stronę bez HTTPS, Chrome pokaże ostrzeżenie, że strona nie obsługuje bezpiecznego połączenia, i zapyta, czy na pewno chce przejść dalej. Według Google przeciętny użytkownik zobaczy takie ostrzeżenie rzadziej niż raz w tygodniu – bo stron bez HTTPS zostało już niewiele. Tym bardziej rzucają się w oczy.

Dla firmy oznacza to jedno: klient, który trafi na stronę bez certyfikatu, zanim zobaczy ofertę, zobaczy ostrzeżenie. Wielu osobom to wystarczy, żeby wrócić do Google i kliknąć konkurencję.

Ciekawostka: gdzie zniknęła kłódka?

Jeśli używasz Chrome, mogłeś zauważyć, że kłódki przy adresie już nie ma. Od Chrome 117 (2023) Google zastępuje ją neutralną ikoną ustawień (dwa suwaki). Powód? Badanie Google z 2021 roku pokazało, że tylko 11% uczestników dobrze rozumiało, co tak naprawdę oznacza kłódka. Wiele osób myślało, że to znak „ta strona jest godna zaufania”.

Google uznał, że bezpieczne połączenie powinno być standardem, a nie powodem do wyróżnienia. Dlatego dziś Chrome raczej ostrzega, gdy szyfrowania brakuje, niż nagradza za to, że jest. Inne przeglądarki wciąż pokazują kłódkę, a w Chrome informację o certyfikacie znajdziesz po kliknięciu nowej ikony.

Kłódka nie znaczy „uczciwa strona”

To najważniejsza rzecz, jaką warto zapamiętać – i przekazać pracownikom czy rodzinie. Kłódka (albo brak ostrzeżenia) oznacza tylko, że połączenie z tą stroną jest szyfrowane. Nie mówi nic o tym, kto ją prowadzi i czy ma dobre zamiary.

Certyfikat podstawowy można dostać za darmo w kilka minut, więc mają go także strony oszustów – np. fałszywe strony logowania do banku czy „dopłaty do przesyłki”. Dlatego zawsze sprawdzaj adres:

• czy domena jest dokładnie taka, jak powinna (np. twoj-bank.pl, a nie twoj-bank.weryfikacja-konta.com),
• czy nie ma w niej literówek i podmienionych znaków (np. zero zamiast litery „o”),
• czy na stronę trafiłeś sam, a nie z linku w podejrzanym SMS-ie czy mailu.

Czy SSL wpływa na pozycję w Google?

Tak, choć nie jest to „magiczny przycisk”. Google ogłosił w sierpniu 2014 roku, że HTTPS jest jednym z sygnałów rankingowych – od początku zaznaczając, że to sygnał lekki, słabszy niż np. jakość treści.

Ważniejszy jest efekt pośredni. Dziś według danych Google ok. 98% wejść na strony publiczne z Chrome na Windowsie (i ponad 99% na Androidzie i Macu) odbywa się przez HTTPS. Strona bez certyfikatu wygląda więc jak relikt – a ostrzeżenie w przeglądarce sprawia, że część osób wychodzi od razu. Tego Google też nie lubi.

Certyfikat wygasa – i to coraz szybciej

Certyfikat SSL nie jest ważny bezterminowo. Branża (CA/Browser Forum, w którym zasiadają m.in. twórcy przeglądarek) postanowiła stopniowo skracać maksymalny czas ważności:

Od kiedy	Maksymalna ważność certyfikatu
do 14 marca 2026	398 dni
od 15 marca 2026	200 dni
od 15 marca 2027	100 dni
od 15 marca 2029	47 dni

Co to oznacza w praktyce? Ręczne odnawianie certyfikatu „raz na rok, jak ktoś pamięta” przestaje mieć sens. Jeśli certyfikat wygaśnie, przeglądarka zamiast strony pokaże czerwony ekran z komunikatem, że połączenie nie jest prywatne – a to odstrasza skuteczniej niż jakikolwiek konkurent. Dlatego certyfikat powinien odnawiać się automatycznie. Na dobrym hostingu to standard – warto tylko upewnić się, że ta opcja jest włączona.

Ile kosztuje certyfikat SSL?

Dla zdecydowanej większości stron firmowych – nic. Darmowe certyfikaty wydaje m.in. organizacja non-profit Let's Encrypt, a większość polskich hostingów pozwala je włączyć jednym kliknięciem w panelu i sama dba o odnawianie.

Płatne certyfikaty (tzw. OV i EV) dodatkowo potwierdzają dane firmy. Nie szyfrują jednak „mocniej”, a przeglądarki od lat nie wyróżniają ich w pasku adresu. Mają sens głównie tam, gdzie wymaga tego np. regulamin współpracy czy polityka bezpieczeństwa dużej firmy. Przy stronach, które robimy w KreativSEO, wdrażamy certyfikat SSL i konfigurujemy przekierowania na HTTPS.

Jak sprawdzić i poprawić swoją stronę – krok po kroku

1. Wpisz adres swojej strony z http:// na początku. Jeśli nie przekieruje Cię automatycznie na https://, brakuje certyfikatu albo przekierowania.
2. Włącz certyfikat w panelu hostingu (szukaj „SSL”, „Let's Encrypt” lub „Certyfikaty”) i upewnij się, że odnawia się automatycznie.
3. Ustaw przekierowanie 301 z wersji http na https, żeby Google i klienci zawsze trafiali na bezpieczną wersję.
4. Sprawdź, czy strona nie wczytuje niczego przez http – obrazków, skryptów, czcionek. Takie „mieszane treści” mogą psuć wygląd strony albo powodować ostrzeżenia.
5. Zaktualizuj Google Search Console i mapę strony, żeby wskazywały adresy z https.

Przy okazji możesz sprawdzić szybkość i podstawy SEO swojej strony w naszym darmowym audycie – bez rejestracji i bez podawania maila.

Potrzebujesz pomocy?

Twoja strona pokazuje „Niezabezpieczona” albo nie wiesz, czy certyfikat odnawia się sam? Napisz do nas – sprawdzimy to i pomożemy przejść na HTTPS bez utraty pozycji w Google. O innych zagrożeniach dla stron firmowych pisaliśmy w artykule o lukach PHP2Shell.

Źródła

• Google – HTTPS by default (Chrome 154, październik 2026)
• Google Security Blog – A secure web is here to stay (Chrome 68)
• Chromium Blog – An update on the lock icon
• Google Search Central – HTTPS as a ranking signal (2014)
• DNSimple – SSL Certificate Validity Changes (2026–2029)
• SSL.com – SSL Certificate Validity Changes