Certyfikat SSL – co to jest i jak wybrać odpowiedni dla swojej strony?

Zielona kłódka w przeglądarce to dziś standard. Bez niej Chrome wyświetla ostrzeżenie „Niezabezpieczona strona”, a użytkownicy uciekają szybciej niż zdążysz powiedzieć „bounce rate”. Ale czym właściwie jest certyfikat SSL i czy naprawdę musisz za niego płacić?

Jak działa SSL i dlaczego ma znaczenie?

SSL (Secure Sockets Layer) – a właściwie jego następca TLS – to protokół szyfrujący połączenie między przeglądarką użytkownika a serwerem. Gdy wpisujesz hasło do panelu admina albo numer karty kredytowej w sklepie, dane są szyfrowane i nie może ich przechwycić nikt po drodze.

Technicznie działa to tak: serwer wysyła przeglądarce certyfikat, przeglądarka weryfikuje jego autentyczność, a potem obie strony uzgadniają klucz szyfrujący. Od tego momentu cała komunikacja jest zaszyfrowana. Nawet jeśli ktoś przechwyci pakiety danych, zobaczy tylko losowy ciąg znaków.

Efekt zewnętrzny? Adres zaczyna się od https:// zamiast http://, a przy pasku adresu pojawia się kłódka. Kliknięcie w nią pokazuje informacje o certyfikacie – kto go wydał, do kiedy jest ważny, czasem też dane właściciela strony.

Darmowy Let’s Encrypt kontra płatne certyfikaty

Pytanie, które dostaję najczęściej: „Po co płacić za SSL, skoro Let’s Encrypt jest za darmo?”. Odpowiedź nie jest tak prosta, jak mogłoby się wydawać.

Let’s Encrypt to inicjatywa non-profit, która wydała już ponad 300 milionów certyfikatów. Jest darmowy, automatycznie się odnawia co 90 dni i oferuje takie samo szyfrowanie jak certyfikaty płatne. Pod względem technicznym – bity, algorytmy, siła szyfrowania – nie ma różnicy.

To dlaczego płatne certyfikaty nadal istnieją?

Różnice zaczynają się poza samym szyfrowaniem:

Poziom weryfikacji
Let’s Encrypt oferuje wyłącznie certyfikaty DV (Domain Validation) – weryfikuje tylko, czy kontrolujesz domenę. Płatne certyfikaty mogą być też OV (Organization Validation) i EV (Extended Validation), gdzie dodatkowo sprawdzana jest tożsamość firmy.

Gwarancje finansowe
Płatne certyfikaty zawierają polisę ubezpieczeniową. Jeśli z winy producenta dojdzie do wycieku danych, możesz liczyć na odszkodowanie – od 10 000 do nawet 1 750 000 dolarów, zależnie od certyfikatu. Let’s Encrypt? Zero gwarancji.

Wsparcie techniczne
Przy darmowym certyfikacie jesteś zdany na siebie i fora internetowe. Przy płatnym – masz dedykowany support producenta.

Rozpoznawalność marki
Comodo, DigiCert, Sectigo – to nazwy, które część użytkowników rozpoznaje. W przypadku EV nazwa firmy wyświetlała się kiedyś w zielonym pasku (dziś już nie, ale informacja jest dostępna po kliknięciu w kłódkę).

Okres ważności
Let’s Encrypt wymaga odnawiania co 90 dni (automatycznie, ale jednak). Płatne certyfikaty kupujesz na rok lub dwa.

Rodzaje certyfikatów SSL – DV, OV, EV

To nie są przypadkowe skróty. Każdy oznacza inny poziom weryfikacji i zaufania.

DV (Domain Validation)

Najtańszy i najprostszy. Weryfikacja polega na potwierdzeniu, że kontrolujesz domenę – przez e-mail na adres admin@twojadomena.pl, rekord DNS albo plik umieszczony na serwerze. Cały proces trwa minuty.

Certyfikat DV mówi użytkownikowi tylko tyle: „Połączenie jest szyfrowane”. Nic więcej. Nie potwierdza, że za stroną stoi legalna firma. Teoretycznie oszust też może mieć DV.

Wystarczy dla: blogów, stron wizytówek, małych sklepów, projektów osobistych.

OV (Organization Validation)

Tutaj zaczyna się prawdziwa weryfikacja. Wydawca certyfikatu sprawdza:

• czy firma istnieje (KRS, CEIDG)
• czy adres jest prawdziwy
• czasem dzwoni, żeby potwierdzić tożsamość

Proces trwa od kilku godzin do kilku dni. W certyfikacie zapisane są dane firmy – widoczne po kliknięciu w kłódkę.

Wystarczy dla: firm usługowych, sklepów średniej wielkości, stron korporacyjnych.

EV (Extended Validation)

Najwyższy poziom weryfikacji. Oprócz wszystkiego, co przy OV, sprawdzane są:

• dokumenty rejestrowe firmy
• prawo do używania nazwy domeny
• tożsamość osoby wnioskującej
• weryfikacja telefoniczna

Proces trwa kilka dni do tygodnia. Cena? Zazwyczaj kilkukrotnie wyższa niż OV.

Kiedyś przeglądarki wyświetlały nazwę firmy w zielonym pasku adresu. Od 2019 roku Chrome i Firefox z tego zrezygnowały, ale informacje o firmie nadal są dostępne po kliknięciu w kłódkę.

Wystarczy dla: banków, dużych e-commerce, instytucji finansowych, serwisów rządowych.

Certyfikat Wildcard – rozwiązanie dla wielu subdomen

Masz sklep.twojafirma.pl, blog.twojafirma.pl, panel.twojafirma.pl i jeszcze pięć innych subdomen? Możesz kupić osobny certyfikat dla każdej. Albo jeden Wildcard.

Certyfikat Wildcard (*.twojadomena.pl) obejmuje domenę główną i wszystkie subdomeny pierwszego poziomu. Jeden certyfikat zamiast dziesięciu, jedna data odnowienia, jeden koszt.

Ograniczenia:

• działa tylko dla jednego poziomu (*.domena.pl, ale nie *.cos.domena.pl)
• nie jest dostępny w wersji EV
• cena wyższa niż pojedynczy certyfikat, ale niższa niż kilka osobnych

Kiedy się opłaca? Gdy masz więcej niż 3-4 subdomeny. Przy dwóch taniej wyjdą osobne certyfikaty.

Jest jeszcze opcja SAN (Subject Alternative Name) / Multi-Domain – jeden certyfikat dla kilku różnych domen (nie subdomen). Przydatne, gdy prowadzisz kilka serwisów na różnych adresach.

Gwarancje producenta – co oznaczają te kwoty?

Przy certyfikatach płatnych zobaczysz informacje typu „gwarancja $250 000” albo „$1 000 000 warranty”. Co to właściwie znaczy?

To ubezpieczenie na wypadek, gdyby z winy producenta certyfikatu doszło do naruszenia bezpieczeństwa. Scenariusze:

• błąd w weryfikacji (certyfikat wydano oszustowi)
• wyciek klucza prywatnego po stronie producenta
• błędy kryptograficzne w certyfikacie

Jeśli przez to poniesiesz straty, możesz ubiegać się o odszkodowanie do wysokości gwarancji.

Szczerze? Takie sytuacje są ekstremalnie rzadkie. Przez ostatnie 20 lat mogę policzyć je na palcach jednej ręki. Ale dla dużych firm, szczególnie w sektorze finansowym, sama możliwość powołania się na gwarancję ma znaczenie – choćby w rozmowach z audytorami.

Przykładowe poziomy gwarancji:

• podstawowe DV: $10 000 – $50 000
• OV: $100 000 – $250 000
• EV: $500 000 – $1 750 000

Let’s Encrypt nie oferuje żadnej gwarancji finansowej. W regulaminie wprost napisane jest, że używasz na własne ryzyko.

Jak zainstalować płatny certyfikat SSL?

Proces jest nieco bardziej skomplikowany niż przy Let’s Encrypt, ale nie wymaga wiedzy na poziomie administratora systemów.

Krok 1: Wygeneruj CSR (Certificate Signing Request)

CSR to zaszyfrowany plik z danymi o Twojej domenie i firmie. Generujesz go na serwerze lub w panelu hostingu.

Większość paneli (cPanel, DirectAdmin, Plesk) ma do tego dedykowane narzędzie. Wchodzisz w sekcję SSL, klikasz „Generate CSR”, wpisujesz dane:

• nazwę domeny
• nazwę firmy
• miasto, kraj
• adres e-mail

System generuje CSR i klucz prywatny. Klucz prywatny zapisz bezpiecznie – bez niego certyfikat jest bezużyteczny.

Krok 2: Zamów certyfikat

CSR przekazujesz do dostawcy certyfikatów. Możesz go kupić bezpośrednio u producenta (Comodo/Sectigo, DigiCert) albo przez resellera.

Firma MIG Hosting (www.natopie.pl) oferuje certyfikaty Trustico, Comodo i Positive – to sprawdzeni dostawcy z wieloletnim doświadczeniem na rynku.

Krok 3: Przejdź weryfikację

Dla DV: kliknij link w mailu wysłanym na admin@twojadomena.pl lub umieść wskazany plik na serwerze.

Dla OV: przygotuj dokumenty rejestrowe firmy, odbierz telefon weryfikacyjny.

Dla EV: uzbrój się w cierpliwość i komplet dokumentów.

Krok 4: Zainstaluj certyfikat

Po weryfikacji otrzymasz pliki certyfikatu (zazwyczaj .crt lub .pem). W panelu hostingu wgrywasz:

• certyfikat główny
• certyfikat pośredni (intermediate/chain)
• klucz prywatny (ten z kroku 1)

W cPanelu to dosłownie wklejenie treści w odpowiednie pola. Po zapisaniu – gotowe.

Krok 5: Przekieruj ruch na HTTPS

Sam certyfikat nie wystarczy. Musisz jeszcze:

• ustawić przekierowanie z http:// na https:// (w .htaccess lub panelu)
• zmienić adres strony w CMS-ie
• zaktualizować linki w treściach (szczególnie do obrazków)
• sprawdzić, czy nie ma „mixed content” (elementy ładowane przez http na stronie https)

Kiedy certyfikat SSL jest absolutnie niezbędny?

Technicznie – zawsze. Google od lat używa HTTPS jako czynnika rankingowego, a przeglądarki skutecznie straszą użytkowników przy braku certyfikatu. Ale są sytuacje, gdzie brak SSL to nie tylko zła praktyka, ale poważne ryzyko prawne i finansowe.

Sklepy internetowe

Bez dyskusji. Przyjmujesz dane osobowe, adresy, numery kart kredytowych. RODO wymaga odpowiednich zabezpieczeń technicznych, a brak szyfrowania to proszenie się o kłopoty. Przy płatnościach kartą operatorzy (Visa, Mastercard) wymagają certyfikatu SSL w ramach PCI DSS.

Strony z logowaniem

Panel klienta, forum z rejestracją, aplikacja webowa – wszędzie, gdzie użytkownik wpisuje hasło. Bez SSL hasło leci przez sieć otwartym tekstem. Na kawiarni z publicznym WiFi każdy z odpowiednim oprogramowaniem może je przechwycić.

Formularze kontaktowe

Nawet prosty formularz „napisz do nas” zbiera dane osobowe – imię, e-mail, numer telefonu. RODO to dane osobowe. Szyfrowanie wymagane.

Strony firmowe i korporacyjne

Tutaj chodzi o wizerunek. Ostrzeżenie „Niezabezpieczona” przy stronie banku, kancelarii prawnej czy firmy IT? Zabójstwo wizerunkowe. Klienci tracą zaufanie, konkurencja zyskuje argument.

Strony medyczne i prawne

Dane wrażliwe, tajemnica lekarska, tajemnica adwokacka. Naruszenie może oznaczać nie tylko kary RODO, ale też konsekwencje zawodowe.

Który certyfikat wybrać?

Podsumowanie dla niecierpliwych:

Blog, portfolio, mała strona firmowa bez logowania:
Let’s Encrypt wystarczy. Darmowy, automatyczny, działa.

Sklep internetowy, strona z panelem klienta:
Minimum DV od uznanego producenta (Comodo, Positive). Rozważ OV, jeśli zależy Ci na wizerunku.

Firma usługowa, kancelaria, przychodnia:
OV – potwierdza tożsamość firmy, buduje zaufanie.

Bank, duży e-commerce, fintech:
EV – najwyższy poziom weryfikacji, pełne ubezpieczenie.

Wiele subdomen:
Wildcard (*.domena.pl) – jeden certyfikat dla wszystkich.

Gdzie kupić certyfikat SSL?

Możesz zamówić bezpośrednio u producentów, ale często wygodniej i taniej przez hosting lub resellera.

MIG hosting (www.natopie.pl) oferuje certyfikaty od sprawdzonych producentów:

• Trustico – szeroka gama certyfikatów DV, OV i EV
• Comodo (Sectigo) – jeden z największych producentów na świecie, rozpoznawalna marka
• Positive SSL – ekonomiczne rozwiązanie dla mniejszych projektów

Zaletą zakupu przez hosting jest wsparcie przy instalacji. Zamiast samodzielnie generować CSR i wgrywać pliki, możesz poprosić support o pomoc. Przy pierwszym razie to spora oszczędność nerwów.

Certyfikat SSL to dziś nie opcja, a konieczność. Pozostaje pytanie, czy wystarczy Ci darmowy Let’s Encrypt, czy potrzebujesz czegoś więcej. Dla większości stron – szczerze – darmowy wystarczy. Ale jeśli prowadzisz biznes, przyjmujesz płatności albo zależy Ci na wizerunku, warto rozważyć certyfikat płatny z gwarancją i nazwą rozpoznawalnego producenta.