Certyfikat SSL przestał być tematem technicznym w momencie, w którym przeglądarki zaczęły ostrzegać przed jego brakiem. Dziś to nie jest kwestia szyfrowania — to kwestia pierwszego wrażenia, które robi się bez Twojego udziału.
Co dokładnie widzi klient
Przy adresie pojawia się komunikat „Niezabezpieczona”, czasem z ikoną ostrzeżenia. Przy próbie wysłania formularza kontaktowego przeglądarka może dorzucić drugie ostrzeżenie. Na niektórych konfiguracjach klient dostaje pełnoekranową czerwoną stronę, którą trzeba świadomie kliknąć „Przejdź dalej”.
Nikt nie klika „Przejdź dalej” na stronie stolarza, którego znalazł minutę temu i o którym nic nie wie. Zamyka kartę.
Dwa mity, które warto obalić
„Nie zbieram danych, więc nie potrzebuję SSL”. Ostrzeżenie nie zależy od tego, czy zbierasz dane. Pokazuje się na każdej stronie bez certyfikatu, także wizytówkowej.
„To kosztuje”. Certyfikaty Let’s Encrypt są darmowe i większość hostingów w Polsce włącza je jednym przełącznikiem w panelu. Realny koszt to zwykle kilka minut, nie pieniądze.
Jak sprawdzić w 10 sekund
- Wpisz adres strony z przedrostkiem
https://, niehttp://. - Jeśli strona się otwiera i przy adresie nie ma ostrzeżenia — jest w porządku.
- Jeśli widzisz ostrzeżenie albo strona nie otwiera się wcale po
https://— certyfikatu nie ma lub jest nieprawidłowy.
Częsty przypadek pośredni: certyfikat wygasł
To gorszy scenariusz niż brak certyfikatu od początku, bo przeglądarka reaguje ostrzej. Certyfikaty Let’s Encrypt są ważne trzy miesiące i odnawiają się automatycznie — dopóki coś nie zepsuje mechanizmu odnawiania. Wtedy strona działa normalnie przez kwartał, a potem z dnia na dzień zaczyna odstraszać klientów. Właściciel dowiaduje się o tym zwykle przypadkiem.
Drugi błąd, który występuje w parze
Częsta sytuacja: certyfikat jest, ale strona nadal otwiera się pod http:// i nie przekierowuje na wersję bezpieczną. Wtedy część klientów trafia na wersję z ostrzeżeniem, a część nie — zależnie od tego, skąd przyszli. Przekierowanie ustawia się raz i rozwiązuje problem na zawsze.