Certyfikat SSL – co to jest i dlaczego jest ważny?

Czym jest certyfikat SSL

Sam plik to jednak najmniejsza część sprawy. O tym, czy przeglądarka pokaże kłódkę bez zastrzeżeń, decyduje kilka ustawień obok certyfikatu. To one najczęściej bywają niedomknięte.

Sygnał rankingowy, ale mniejszy, niż się powtarza

Google ogłosiło HTTPS jako czynnik rankingowy w sierpniu 2014 i od razu podało skalę: „For now it’s only a very lightweight signal—affecting fewer than 1% of global queries, and carrying less weight than other signals such as high-quality content”.1 Zapowiedziano też możliwe wzmocnienie w przyszłości, ale osobnego ogłoszenia o tym nigdy nie było.

Wniosek jest odwrotny do popularnego: certyfikatu nie zakłada się dla pozycji, tylko dlatego, że jego brak przeglądarki oznaczają ostrzeżeniem „niezabezpieczona”. Ten koszt widać od razu i nie ma nic wspólnego z algorytmem: odwiedzający wychodzi, zanim przeczyta pierwsze zdanie.

Ważność certyfikatów spada z 398 dni do 47

Najważniejsza zmiana ostatnich lat dotyczy nie samego szyfrowania, tylko rytmu odnawiania. CA/Browser Forum przyjęło harmonogram skracania maksymalnego okresu ważności: „Eventual reduction of maximum validity period from 398 days to 47 days. These reductions are proposed to occur starting in March 2026 and concluding in March 2029”.2

To wywraca dotychczasową praktykę. Ochrona połączenia przestaje być rzeczą kupowaną raz w roku i zapisywaną w kalendarzu. Przy odnowieniu co półtora miesiąca ręczna obsługa przestaje być realna. Automatyczne odnawianie zmienia się z wygody w warunek działania strony.

Sprawdziliśmy własną konfigurację

21 sierpnia 2026 przejrzeliśmy własny serwis pod tym kątem.3 Nasz certyfikat ma ważność 90 dni (od 20 lipca do 18 października 2026), a nie roczną, i odnawia się automatycznie. Połączenie działa na TLS 1.3 z szyfrem AES-256-GCM.

Sprawdziliśmy też trzy rzeczy obok samego certyfikatu, bo to one zwykle rozstrzygają. Adres http:// przekierowuje na wersję szyfrowaną jednym skokiem (kod 301), a nie łańcuchem przekierowań. Serwer wysyła nagłówek HSTS z rocznym okresem i objęciem subdomen, więc przeglądarka nie próbuje już połączyć się bez szyfrowania. Na czternastu badanych podstronach nie ma ani jednego zasobu ładowanego po http://. Mieszana zawartość potrafi bowiem zdjąć kłódkę mimo poprawnego certyfikatu.

Co warto mieć poza samym certyfikatem

Trzy rzeczy z listy powyżej warto sprawdzić na każdej stronie, bo każda z nich potrafi zepsuć efekt poprawnie wystawionego certyfikatu: przekierowanie z wersji nieszyfrowanej, nagłówek HSTS i brak zasobów ładowanych po http://. Do tego dochodzi monitorowanie daty wygaśnięcia: nawet przy automatycznym odnawianiu dobrze wiedzieć, że mechanizm zadziałał.

Hosting, domenę i certyfikat wliczamy w cenę strony na pierwszy rok. Powód jest operacyjny, nie marketingowy: jeden termin odnowienia zamiast trzech oznacza o dwie okazje mniej do przeoczenia czegoś, co unieruchamia stronę z dnia na dzień.

SSL, hosting i ocena SXO

Certyfikat SSL jest częścią bezpiecznego hostingu i pośrednio wpływa na ocenę SXO całej strony. Problemy z nim widać w raportach Google Search Console, zwykle zanim zauważy je pierwszy odwiedzający. Konfigurację domykamy przy budowie strony.

Najczęstsze pytania

Na ile wystawia się dziś certyfikat?
Coraz krócej. Nasz ma 90 dni, a CA/Browser Forum przyjęło harmonogram skracania maksymalnej ważności z 398 dni do 47 w latach 2026–2029.

Czy certyfikat poprawi pozycje w Google?
Marginalnie. Google określiło HTTPS jako sygnał bardzo lekki, dotyczący mniej niż 1% zapytań i ważący mniej niż jakość treści. Powodem do wdrożenia jest ostrzeżenie przeglądarki, nie ranking.

Mam kłódkę, ale przeglądarka zgłasza zastrzeżenia. Dlaczego?
Najczęściej przez mieszaną zawartość, czyli obrazek, skrypt lub styl ładowany po http. Certyfikat jest wtedy poprawny, a połączenie i tak nie jest w pełni szyfrowane.

Co się dzieje, gdy certyfikat wygaśnie?
Przeglądarka blokuje wejście ekranem ostrzeżenia. Przy ważności liczonej w tygodniach jedynym sensownym zabezpieczeniem jest automatyczne odnawianie z kontrolą, czy się powiodło.

Źródła

1. Google Search Central Blog, „HTTPS as a ranking signal” (6 sierpnia 2014): „For now it’s only a very lightweight signal—affecting fewer than 1% of global queries, and carrying less weight than other signals such as high-quality content—while we give webmasters time to switch to HTTPS” (odczyt 2026-08-21). Zobacz ogłoszenie Google →

2. CA/Browser Forum, głosowanie SC-081v3 „Introduce Schedule of Reducing Validity and Data Reuse Periods”: „Eventual reduction of maximum validity period from 398 days to 47 days. These reductions are proposed to occur starting in March 2026 and concluding in March 2029” (odczyt 2026-08-21). Zobacz treść głosowania →

3. Audyt własny essaseo.pl z 2026-08-21 (`audyt_ssl.py`): certyfikat wystawiony przez Google Trust Services na okres 20.07–18.10.2026, czyli 90 dni; połączenie TLS 1.3 z szyfrem AES-256-GCM; przekierowanie z http na https jednym skokiem 301; nagłówek HSTS `max-age=31536000; includeSubDomains`; brak zasobów ładowanych po http na czternastu sprawdzonych podstronach.