Protokół HTTPS – czym jest i dlaczego warto go stosować?

Czym jest protokół HTTPS

Bez szyfrowania każdy pośrednik po drodze widzi to, co ktoś wpisał w formularzu, i może też zmienić treść odpowiedzi, zanim dotrze ona do przeglądarki.

Co Google naprawdę powiedziało o rankingu

Wokół wpływu HTTPS na pozycje narosło sporo przesady, choć źródło jest jedno i mówi bardzo konkretnie. Ogłaszając zmianę w 2014 roku, Google napisało: „For now it’s only a very lightweight signal—affecting fewer than 1% of global queries, and carrying less weight than other signals such as high-quality content”.1

Z tego zdania wynikają trzy rzeczy. HTTPS jest sygnałem rankingowym. Jest sygnałem lekkim. I sam Google stawia go niżej niż jakość treści, w tym samym zdaniu, w którym go ogłasza.

Prawdziwy powód wdrożenia leży gdzie indziej: przeglądarki oznaczają dziś stronę bez szyfrowania jako niezabezpieczoną, i to widzi odwiedzający, zanim przeczyta pierwsze zdanie.

Protokół to zasady, certyfikat to mechanizm

HTTPS wymaga certyfikatu SSL na serwerze. Sam protokół to zasady komunikacji, certyfikat to mechanizm potwierdzający tożsamość serwera i uruchamiający szyfrowanie. Oba pojęcia bywają mylone, choć opisują różne warstwy tego samego zabezpieczenia.

Certyfikat na 90 dni, nie na rok

Wyobrażenie o certyfikacie odnawianym raz do roku jest już nieaktualne, co widać na pierwszym lepszym przykładzie. Nasz własny, sprawdzony 21 sierpnia 2026, wystawiło Google Trust Services na 90 dni, od 20 lipca do 18 października, z 58 dniami zapasu w chwili pomiaru. Połączenie idzie po TLS 1.3, adres http:// ląduje na wersji szyfrowanej jednym przeskokiem, a nagłówek HSTS deklaruje rok ważności.3

Zmiana rytmu z rocznego na kwartalny przesuwa też rodzaj ryzyka. Certyfikat na 90 dni odnawia się automatycznie, więc nikt tego terminu nie pilnuje w kalendarzu, a to znaczy, że o cichej awarii odnowienia nikt się nie dowie z wyprzedzeniem.

Dlaczego HSTS zamienia awarię w niedostępność

Ta cicha awaria ma poważniejsze skutki, niż mówi intuicja. Nagłówek HSTS każe przeglądarce przez zadeklarowany czas łączyć się z domeną wyłącznie po HTTPS, a specyfikacja opisuje to bez półśrodków: „If a web application issues an HSTS Policy, then it is implicitly opting into the »no user recourse« approach, whereby all certificate errors or warnings cause a connection termination”.2

W praktyce oznacza to, że wygasły certyfikat na stronie z HSTS nie daje ostrzeżenia z przyciskiem „przejdź mimo to”. Daje zerwane połączenie. Serwis nie jest wtedy niezabezpieczony, tylko niedostępny, i to dla każdego, kto odwiedził go wcześniej.

Wniosek jest praktyczny: HSTS wdraża się razem z monitoringiem daty ważności certyfikatu, nie zamiast niego.

HTTPS bez przekierowania starych adresów

Migracja bywa domykana w momencie instalacji certyfikatu, bez zajęcia się starymi adresami. Wejścia pod http:// powinno przechwytywać przekierowanie 301. Bez niego serwis żyje w dwóch równoległych wersjach naraz, a wyszukiwarka musi zgadywać, która jest właściwa.

Kłódka nie mówi o zasobach

Szyfrowanie obejmuje każdy plik ładowany przez stronę, nie tylko sam dokument. Przeglądarki blokują mieszaną zawartość, a zasób żądany spod adresu IP zamiast nazwy domeny nie zostanie podniesiony do HTTPS. Po prostu przepadnie.4 Dlatego po migracji zagląda się do konsoli przeglądarki, a nie poprzestaje na kłódce w pasku adresu.

HTTPS, certyfikat SSL i przekierowania

HTTPS opiera się na protokole HTTP, wymaga certyfikatu SSL i poprawnych przekierowań 301 ze starych adresów.

Najczęstsze pytania

Czy HTTPS i certyfikat SSL to to samo?
Nie. Certyfikat potwierdza tożsamość serwera i uruchamia szyfrowanie, a HTTPS to protokół, który z niego korzysta.

Ile HTTPS daje w rankingu?
Google określiło to jako sygnał bardzo lekki, dotyczący mniej niż 1% zapytań i ważący mniej niż jakość treści. Powodem wdrożenia jest bezpieczeństwo i ostrzeżenie w przeglądarce, nie pozycja.

Na jak długo wystawia się dziś certyfikat?
Zwykle na 90 dni, z automatycznym odnawianiem. Dlatego pilnuje się nie terminu, tylko tego, czy odnawianie faktycznie działa.

Co się stanie, jeśli certyfikat wygaśnie przy włączonym HSTS?
Przeglądarka zerwie połączenie bez opcji przejścia dalej. Strona będzie niedostępna, a nie tylko oznaczona jako niezabezpieczona.

Źródła

1. Google Search Central Blog, „HTTPS as a ranking signal”, 6 sierpnia 2014: „For now it’s only a very lightweight signal—affecting fewer than 1% of global queries, and carrying less weight than other signals such as high-quality content” (odczyt 2026-08-21). Zobacz ogłoszenie Google →

2. RFC 6797, „HTTP Strict Transport Security (HSTS)”, sekcja 12.1 „No User Recourse”: „If a web application issues an HSTS Policy, then it is implicitly opting into the »no user recourse« approach, whereby all certificate errors or warnings cause a connection termination, with no chance to »fool« users into making the wrong decision and compromising themselves” (odczyt 2026-08-21). Zobacz specyfikację →

3. Pomiar własny essaseo.pl z 2026-08-21 (`audyt_ssl.py`): certyfikat Google Trust Services dla essaseo.pl i *.essaseo.pl, ważny od 2026-07-20 do 2026-10-18 (90 dni, 58 dni pozostałych w chwili pomiaru), TLS 1.3 z szyfrem TLS_AES_256_GCM_SHA384; przekierowanie z http na https jednym przeskokiem; nagłówek HSTS max-age=31536000 z includeSubDomains; mieszanej zawartości nie wykryto.

4. MDN Web Docs, „Mixed content” — automatyczne podnoszenie żądań, blokowanie i wyjątek dla zasobów żądanych spod adresu IP. Zobacz dokumentację →