Certyfikat SSL dla strony firmowej: jaki wybrać i jak go zainstalować

Dla zdecydowanej większości stron firmowych wystarczy certyfikat DV (Domain Validation), najczęściej Let's Encrypt, wydawany automatycznie i odnawiany co 90 dni. Szyfrowanie jest w nim dokładnie takie samo jak w certyfikacie za kilkaset złotych rocznie: różnica dotyczy tego, kto i jak weryfikuje firmę, a nie siły ochrony danych. Certyfikat OV lub EV ma sens tylko wtedy, gdy potrzebujesz udokumentowanej weryfikacji podmiotu (bank, ubezpieczyciel, duży przetarg) albo gwarancji finansowej wystawcy.

Co właściwie robi certyfikat SSL?

Certyfikat SSL (dziś technicznie TLS) robi dwie rzeczy: szyfruje ruch między przeglądarką a serwerem oraz potwierdza, że rozmawiasz z serwerem uprawnionym do obsługi tej domeny. Tyle. Nie sprawdza, czy Twoja strona ma dziury, nie blokuje botów, nie chroni przed włamaniem na konto administratora.

To rozróżnienie jest ważne, bo w praktyce wielu właścicieli firm traktuje kłódkę jak certyfikat bezpieczeństwa całej witryny. Strona z nieaktualnym WordPressem i wtyczką z podatnością sprzed dwóch lat będzie miała kłódkę do samego końca, również w momencie, gdy ktoś podmieni jej treść na spam. Realne bezpieczeństwo strony to aktualizacje, kontrola uprawnień, kopie zapasowe i reakcja na incydent, czyli rzeczy z zupełnie innej półki niż SSL. Jeśli już do czegoś doszło, pomocna będzie osobna procedura: usuwanie malware i hardening. Kłódka nie uratuje strony, która została przejęta.

Co SSL daje naprawdę: hasła z formularza logowania, dane z formularza kontaktowego i numery kart nie lecą przez sieć otwartym tekstem. Publiczne Wi-Fi w kawiarni przestaje być miejscem, gdzie ktoś czyta ruch Twoich klientów. Do tego przeglądarki od lat oznaczają strony bez HTTPS jako niezabezpieczone, co dla strony firmowej jest po prostu dyskwalifikujące.

Jaki certyfikat SSL wybrać dla firmy?

Standardowa strona firmowa, sklep na WooCommerce, landing page, portal z blogiem: DV od Let's Encrypt, wydawany i odnawiany automatycznie. Instytucja finansowa, podmiot pod nadzorem albo firma, która ma w wymaganiach kontraktowych weryfikację organizacji: OV. EV rozważ tylko przy twardym wymogu formalnym, bo dla użytkownika nie zmienia dziś praktycznie nic.

Decyzję warto sprowadzić do jednego pytania: czy ktokolwiek poza Tobą wymaga dowodu, że domena należy do konkretnego podmiotu prawnego? Jeżeli nie, DV załatwia sprawę. Klient odwiedzający stronę widzi tę samą kłódkę i to samo szyfrowanie, niezależnie od tego, ile zapłaciłeś.

Czym różni się DV od OV i EV?

DV weryfikuje wyłącznie kontrolę nad domeną. OV dodaje sprawdzenie firmy w rejestrach (KRS, CEIDG, dane kontaktowe). EV to najbardziej rygorystyczna procedura, z kontaktem telefonicznym i dokumentami. Wszystkie trzy dają identyczne szyfrowanie. Różni je proces weryfikacji, czas wydania, gwarancja wystawcy i cena.

Ostatnia kolumna dla EV wymaga podkreślenia, bo tu marketing wystawców rozminął się z rzeczywistością. Chrome usunął zielony pasek z nazwą firmy w 2019 roku, Firefox poszedł tym samym tropem. Powód był prosty: badania pokazały, że użytkownicy tego nie zauważali, a mechanizm dało się oszukać, rejestrując spółkę o myląco podobnej nazwie. Dziś informacja o podmiocie jest schowana kilka kliknięć głębiej, w szczegółach certyfikatu. Jeśli ktoś sprzedaje Ci EV argumentem, że klienci zobaczą nazwę Twojej firmy w przeglądarce, to sprzedaje Ci stan sprzed kilku lat.

Czy darmowy certyfikat SSL wystarczy?

Dla strony firmowej: tak, w praktycznie każdym przypadku. Let's Encrypt to certyfikat DV wydawany przez urząd zaufany we wszystkich liczących się przeglądarkach i systemach. Kryptograficznie nie ustępuje niczemu płatnemu. Płatny OV kupuje Ci weryfikację organizacji i gwarancję finansową wystawcy, a nie mocniejszą ochronę transmisji.

Uczciwie o różnicach, które faktycznie istnieją. Let's Encrypt wydaje certyfikaty na 90 dni, więc bez działającej automatyki odnowienia strona przestanie działać w ciągu kwartału. Nie wydaje certyfikatów OV ani EV. Nie oferuje gwarancji finansowej, choć trzeba dodać, że gwarancje komercyjnych wystawców to konstrukcja, z której realnie prawie nikt nigdy nie skorzystał, bo pokrywa szkodę wynikającą z błędu wystawcy, a nie z Twojego wycieku danych. Nie ma też wsparcia telefonicznego, ale przy poprawnie skonfigurowanym ACME nie ma o co pytać.

Automatyka odnawiania to jedyny punkt, który naprawdę wymaga uwagi. Protokół ACME (klienty certbot, acme.sh, wbudowana obsługa w panelach hostingowych) odnawia certyfikat zwykle na 30 dni przed wygaśnięciem, w tle, bez udziału człowieka. W każdym naszym planie, od Start za 39 zł netto miesięcznie, SSL od Let's Encrypt jest wliczony i odnawia się sam.

Kiedy potrzebny jest wildcard albo certyfikat multi-domain (SAN)?

Wildcard (*.twojafirma.pl) obejmuje wszystkie subdomeny jednego poziomu i ma sens, gdy masz ich wiele albo tworzysz je dynamicznie. Certyfikat SAN (multi-domain) obejmuje kilka różnych domen w jednym pliku. Przy dwóch czy trzech stałych subdomenach nie potrzebujesz żadnego z nich: prościej wydać osobne certyfikaty DV.

Typowy scenariusz dla wildcard: aplikacja, która nadaje każdemu klientowi własną subdomenę, albo firma z dziesiątkami subdomen wewnętrznych. Zapamiętaj jednak dwa haczyki. Po pierwsze, wildcard nie działa w głąb: certyfikat na *.twojafirma.pl nie obejmie sklep.eu.twojafirma.pl. Po drugie, wildcard od Let's Encrypt wymaga walidacji metodą DNS-01, czyli automat musi mieć dostęp do API Twojego DNS-a, żeby dodać rekord TXT. Bez tego dostępu każde odnowienie będzie ręczne, a to znaczy: co 90 dni ktoś musi pamiętać.

SAN wybierz, gdy jeden serwis odpowiada pod kilkoma domenami, na przykład .pl i .com, albo gdy trzymasz starą domenę tylko po to, żeby przekierowywała na nową. Przekierowanie też musi mieć ważny certyfikat, bo przeglądarka nawiązuje połączenie TLS, zanim zobaczy nagłówek Location.

Jak zainstalować certyfikat SSL?

Są dwie ścieżki. Na hostingu współdzielonym z panelem klikasz włączenie SSL przy domenie, panel sam generuje klucz, występuje o certyfikat przez ACME i konfiguruje serwer. Trwa to minutę. Na własnym VPS albo przy certyfikacie OV generujesz CSR, przekazujesz go wystawcy, odbierasz plik CRT i wgrywasz go razem z kluczem prywatnym i łańcuchem pośrednim.

Ścieżka automatyczna

Warunek jest jeden: domena musi już kierować na serwer, na którym włączasz SSL. Walidacja HTTP-01 polega na tym, że urząd certyfikacji odpytuje adres /.well-known/acme-challenge/ pod Twoją domeną i musi tam znaleźć plik wygenerowany przez klienta ACME. Jeżeli DNS jeszcze się nie przepropagował albo domena wskazuje na starego dostawcę, walidacja padnie z komunikatem o nieosiągalnym zasobie. To najczęstszy powód nieudanego włączenia SSL przy migracji strony, dlatego przy przenosinach strony na nowy serwer certyfikat wydaje się dopiero po przepięciu domeny, nigdy wcześniej.

Ścieżka ręczna

Tu pojawiają się cztery elementy i każdy trzeba rozumieć:

• Klucz prywatny (.key): generujesz go u siebie i nigdy nikomu nie wysyłasz. Wystawca certyfikatu nie powinien go widzieć. Jeżeli ktoś proponuje wygenerowanie klucza za Ciebie w przeglądarce, uciekaj.
• CSR (Certificate Signing Request): żądanie podpisu zawierające klucz publiczny i dane (Common Name, czyli domenę, oraz przy OV dane firmy). To CSR wysyłasz do wystawcy.
• CRT: Twój podpisany certyfikat.
• Łańcuch pośredni (intermediate chain, plik CA bundle): certyfikaty łączące Twój certyfikat z zaufanym korzeniem. Pominięcie tego pliku to klasyk. Strona otworzy się poprawnie w Chrome na komputerze, bo ten potrafi dobrać brakujące ogniwo z cache, ale wysypie się na Androidzie, w aplikacjach mobilnych i przy wywołaniach API.

Po wgraniu zawsze sprawdź konfigurację zewnętrznym testem TLS, a nie tylko własną przeglądarką. Zewnętrzny test pokaże niekompletny łańcuch, którego u siebie nie zobaczysz.

Przekierowanie na HTTPS i HSTS

Sam certyfikat nie wymusza szyfrowanego połączenia. Dopóki strona odpowiada również pod adresem http, ktoś tam trafi: ze starego linku, z zakładki, z wizytówki. Potrzebne jest stałe przekierowanie 301 z http na https, na poziomie serwera, oraz spójny kanoniczny adres (z www albo bez, wybierz jeden).

HSTS to nagłówek, którym mówisz przeglądarce: przez najbliższy określony czas łącz się z tą domeną wyłącznie po HTTPS, nawet nie próbuj http. Zamyka to lukę pierwszego żądania, które można przechwycić. Wdrażaj go jednak ostrożnie i dopiero wtedy, gdy HTTPS działa stabilnie od kilku tygodni, bo nagłówka nie da się szybko cofnąć: przeglądarki użytkowników zapamiętały deklarację i będą jej trzymać. Zacznij od krótkiego max-age, dopiero potem podnoś. Dyrektywę includeSubDomains dodawaj tylko wtedy, gdy masz pewność, że każda subdomena ma ważny certyfikat.

Mixed content: dlaczego kłódka nie chce się pojawić po przełączeniu

Mixed content oznacza, że strona ładuje się po HTTPS, ale zaciąga zasoby po HTTP. Przeglądarka blokuje wtedy skrypty i style, a kłódkę zastępuje ostrzeżeniem. Winowajcą są zwykle bezwzględne adresy http zapisane w bazie danych: obrazki, osadzone mapy, czcionki, stare linki w treści.

W WordPressie sprowadza się to do podmiany adresów w bazie, z zachowaniem serializowanych danych (dlatego zwykłe SQL REPLACE potrafi rozwalić opcje motywu). Sprawdzenie: otwórz konsolę przeglądarki, karta Console pokaże listę zablokowanych zasobów co do adresu. Problem najsilniej dotyka serwisów z rozbudowanymi galeriami, gdzie setki plików mają zapisany pełny stary adres. Widać to na przykład przy portfolio ze zdjęciami wnętrz i architektury, gdzie jedno niedokończone przełączenie potrafi wyłączyć lightbox na całej stronie. Przy zarządzanym hostingu WordPress tę podmianę i weryfikację robimy po stronie serwera, razem z przekierowaniami.

Co zrobić, gdy przeglądarka pokazuje, że połączenie nie jest bezpieczne?

Sprawdź po kolei cztery rzeczy: czy certyfikat nie wygasł, czy wystawiono go na tę domenę (włącznie z wariantem www), czy serwer wysyła pełny łańcuch pośredni oraz czy zegar na urządzeniu użytkownika jest ustawiony poprawnie. Te cztery przyczyny pokrywają zdecydowaną większość zgłoszeń.

Rozwinięcie w kolejności częstotliwości:

• Wygasły certyfikat: automat odnowienia padł miesiąc temu i nikt tego nie zauważył. Komunikat NET::ERR_CERT_DATE_INVALID.
• Niezgodna domena: certyfikat wydano na twojafirma.pl, użytkownik wchodzi na www.twojafirma.pl, a tej nazwy w polu SAN nie ma. Komunikat NET::ERR_CERT_COMMON_NAME_INVALID.
• Brak łańcucha pośredniego: działa na komputerze, nie działa na telefonie i w integracjach. Najbardziej mylący przypadek, bo u mnie wszystko gra.
• Przestawiony zegar: certyfikat jest w porządku, to komputer klienta ma złą datę. Rozpoznasz po tym, że problem zgłasza jedna osoba, a monitoring milczy.
• Serwer nie obsługuje SNI albo zła domyślna konfiguracja: pod adresem odpowiada certyfikat zupełnie innej strony z tego samego serwera.

Odnawianie i monitoring: to tutaj naprawdę wysypują się firmy

Wygasły certyfikat to najczęstsza awaria SSL w małych i średnich firmach. Mechanizm jest zawsze ten sam: ktoś wdrożył certyfikat, odszedł z firmy albo skończył współpracę, a przypomnienie szło na jego skrzynkę. Nawet przy automatyce ACME potrzebujesz niezależnego monitoringu, który sprawdza datę wygaśnięcia z zewnątrz i alarmuje na kilkanaście dni przed terminem. Adres alertów ustaw na skrzynkę zespołową, nie na prywatną, najlepiej w domenie firmy, którą masz pod kontrolą. To jeden z powodów, dla których warto trzymać firmową pocztę we własnej domenie, a nie na prywatnym koncie jednej osoby.

Sensowne minimum organizacyjne: lista wszystkich domen i subdomen firmy z datami ważności, jeden właściciel procesu i test odnowienia po każdej większej zmianie na serwerze.

U nas SSL, przekierowania i hardening konfiguruje człowiek, a nie kreator, i zostają pod stałym monitoringiem. Serwery stoją fizycznie w Warszawie, rozliczamy się fakturą VAT i działamy zgodnie z RODO: szczegóły opisaliśmy przy hostingu na polskich serwerach z fakturą VAT. Konto można przetestować przez 14 dni bez podawania karty.

Czy SSL poprawia pozycje w Google?

HTTPS jest sygnałem rankingowym od 2014 roku, ale bardzo lekkim i rozstrzygającym co najwyżej remis między dwoma równorzędnymi wynikami. Przejście na HTTPS nie podniesie strony w wynikach. Brak HTTPS potrafi natomiast zaszkodzić realnie, bo ostrzeżenie o niezabezpieczonej stronie w pasku adresu wypłasza część użytkowników przed wejściem.

Realny wpływ na SEO pojawia się gdzie indziej: przy migracji na HTTPS musisz zrobić przekierowania 301 poprawnie, zaktualizować adresy kanoniczne, mapę witryny i dodać wersję HTTPS w Search Console. Zepsuta migracja potrafi kosztować widoczność na tygodnie. Sam certyfikat nie zrobi Ci ruchu.

Checklista wdrożenia

• Wybierz DV (Let's Encrypt), chyba że masz formalny wymóg OV lub EV na piśmie.
• Upewnij się, że domena kieruje na docelowy serwer, zanim uruchomisz walidację.
• Obejmij certyfikatem obie wersje: z www i bez www.
• Sprawdź konfigurację zewnętrznym testem TLS, nie tylko własną przeglądarką. Szukaj kompletnego łańcucha.
• Wymuś stałe przekierowanie 301 z http na https i ustal jeden adres kanoniczny.
• Wyczyść mixed content: podmień adresy w bazie i sprawdź konsolę przeglądarki na kluczowych podstronach.
• HSTS dopiero po kilku tygodniach stabilnego HTTPS, zaczynając od krótkiego max-age.
• Potwierdź, że odnowienie ACME faktycznie działa. Nie zakładaj tego, sprawdź logi.
• Ustaw zewnętrzny monitoring daty wygaśnięcia z alertem na skrzynkę zespołową.
• Zaktualizuj mapę witryny i dodaj wersję HTTPS w Search Console.
• Pamiętaj, że kłódka to szyfrowanie transmisji. Bezpieczeństwo strony załatwiasz aktualizacjami i kopiami zapasowymi.