Dla zdecydowanej większości stron firmowych i sklepów darmowy certyfikat SSL szyfruje dokładnie tak samo mocno jak ten za kilkaset złotych rocznie. Płatny certyfikat to nie mocniejsze szyfrowanie - to inny zakres weryfikacji, kto stoi za domeną, plus wsparcie i gwarancje wystawcy. Kłódka w przeglądarce i szyfrowanie połączenia wyglądają identycznie w obu przypadkach. Poniżej masz widełki cen, konkretne sytuacje, w których naprawdę warto dopłacić, i te, w których to czysty wydatek.
Za co dokładnie płacisz, kupując certyfikat SSL
Certyfikat SSL to plik podpisany przez zaufany urząd certyfikacji, który potwierdza, że domena należy do tego, kto się nią posługuje, i pozwala przeglądarce zestawić szyfrowane połączenie. Samo szyfrowanie jest znormalizowane - protokół TLS działa tak samo niezależnie od tego, ile zapłaciłeś.
Różnica w cenie kupuje trzy rzeczy:
- Zakres weryfikacji - czy urząd sprawdził tylko domenę, czy również istnienie firmy w rejestrach
- Zakres pokrycia - jedna domena, wszystkie subdomeny (wildcard) albo kilka różnych domen w jednym pliku
- Obudowę handlową - wsparcie techniczne wystawcy, gwarancja finansowa, pieczątka na stronę, dłuższy okres ważności w ramach jednego zakupu
Żadna z tych rzeczy nie sprawia, że dane klienta w formularzu są „bardziej zaszyfrowane”.
Ile kosztuje certyfikat SSL - realne widełki
Cenniki wystawców i pośredników zmieniają się kilka razy w roku, więc traktuj te liczby jako rząd wielkości, a nie ofertę.
| Rodzaj certyfikatu | Co potwierdza | Orientacyjny koszt rocznie | Dla kogo |
|---|---|---|---|
| DV darmowy (Let’s Encrypt, ZeroSSL, SSL od hostingu) | własność domeny | 0 zł | strona firmowa, blog, większość sklepów |
| DV płatny | własność domeny | od kilkudziesięciu do ok. dwustu zł | gdy potrzebujesz wsparcia wystawcy |
Wildcard (*.twojadomena.pl) | własność domeny + wszystkie subdomeny | zwykle kilkaset zł (darmowy wariant też istnieje) | wiele subdomen, panele, aplikacje |
| OV - weryfikacja firmy | domena + istnienie podmiotu | zwykle kilkaset zł | banki, ubezpieczenia, duże B2B |
| EV - rozszerzona weryfikacja | domena + pogłębiona weryfikacja firmy | od kilkuset zł wzwyż | instytucje finansowe, wymogi branżowe |
Dochodzi koszt ukryty: czas na odnawianie. Płatny certyfikat trzeba raz w roku kupić, wgrać i zrestartować serwer - darmowy w dobrze ustawionym środowisku odnawia się sam. To jedna z pozycji, o których łatwo zapomnieć, licząc koszt utrzymania strony.
Darmowy certyfikat - gdzie jest haczyk
Haczyk jest jeden i dotyczy automatyzacji, nie bezpieczeństwa. Darmowe certyfikaty wystawiane są na krótki okres (Let’s Encrypt na 90 dni), więc muszą odnawiać się automatycznie. Jeżeli hosting robi to za Ciebie - temat znika. Jeżeli ktoś wgrał certyfikat ręcznie, bo „tak było szybciej”, za trzy miesiące strona wita klientów ostrzeżeniem.
Drugi haczyk: darmowy certyfikat nigdy nie ma weryfikacji firmy. Jeżeli jakiś regulamin, przetarg albo dział bezpieczeństwa kontrahenta wymaga OV lub EV, darmowy odpada z definicji, niezależnie od tego, jak dobrze działa.
Trzeci: przy darmowych wystawcach nie ma infolinii - pomaga hostingodawca albo osoba, która opiekuje się stroną. Całe zestawienie plus i minusów rozbieram w tekście o tym, czy wybrać darmowy czy płatny certyfikat.
DV, OV i EV - co to znaczy w praktyce
To trzy poziomy tego, co urząd certyfikacji sprawdził przed wystawieniem pliku.
- DV (Domain Validation) - sprawdzono wyłącznie, że kontrolujesz domenę. Wystawienie trwa minuty, często jest w pełni automatyczne.
- OV (Organization Validation) - dodatkowo zweryfikowano dane firmy w rejestrach. Wystawienie zajmuje zwykle kilka dni roboczych i wymaga dokumentów.
- EV (Extended Validation) - najgłębsza weryfikacja podmiotu, najdłuższa procedura, najwyższa cena.
Ważna rzecz, która zmieniła kalkulację: przeglądarki nie pokazują już zielonego paska z nazwą firmy przy EV. Dziś odwiedzający widzi tę samą kłódkę co przy darmowym DV, a różnicę dostrzeże tylko ktoś, kto sam wejdzie w szczegóły certyfikatu. Jeżeli więc ktoś sprzedaje Ci EV argumentem „klienci zobaczą, że firma jest prawdziwa” - to argument sprzed lat.
Kiedy naprawdę warto zapłacić
Są cztery sytuacje, w których płatny certyfikat ma sens i sam go rekomenduję:
- Wymóg formalny - przetarg, audyt bezpieczeństwa, regulamin partnera albo integracja z systemem, który wprost żąda OV lub EV
- Środowisko bez automatycznego odnawiania - własny serwer, nietypowy panel, aplikacja za load balancerem, gdzie automat byłby droższy w utrzymaniu niż certyfikat na rok
- Potrzeba jednego pliku na wiele różnych domen - certyfikat multi-domain bywa wygodniejszy niż zarządzanie kilkunastoma osobnymi
- Świadoma potrzeba wsparcia i gwarancji wystawcy - jeśli w Twojej organizacji ktoś musi mieć numer telefonu do dostawcy, to jest to legalny powód
Poza tymi przypadkami płatny certyfikat nie zmienia ani bezpieczeństwa, ani konwersji, ani widoczności w Google - HTTPS jest sygnałem technicznym, liczy się to, że działa, a nie ile kosztował.
Wildcard - kiedy jest potrzebny
Certyfikat wildcard to certyfikat wystawiony na *.twojadomena.pl, czyli obejmujący wszystkie subdomeny naraz: sklep, panel, staging, api. Potrzebujesz go, gdy subdomen jest dużo albo dochodzą nowe bez zapowiedzi - wtedy jeden plik oszczędza sporo dłubaniny.
Dwie rzeczy, o których warto wiedzieć przed zakupem:
- Wildcard nie obejmuje samej domeny bez subdomeny ani subdomen drugiego poziomu -
sklep.panel.twojadomena.pljuż nie wejdzie. Dobre certyfikaty wystawia się z dopisaną domeną główną. - Wildcard jest dostępny również za darmo - Let’s Encrypt go wystawia, tylko weryfikacja idzie przez wpis DNS zamiast przez plik na serwerze. To odrobinę więcej pracy przy konfiguracji, ale robi się to raz.
Masz trzy subdomeny i nie planujesz kolejnych? Osobne certyfikaty będą prostsze i tańsze.
SSL u rejestratora, na hostingu i w sklepie na abonament
Miejsce zakupu zmienia cenę bardziej niż sam rodzaj certyfikatu - ten sam typ potrafi kosztować kilkukrotnie różnie zależnie od tego, gdzie klikniesz „kup”.
- Rejestratorzy domen (nazwa.pl, home.pl i podobni) sprzedają certyfikaty jako dodatek przy odnowieniu domeny. Wszystko jest na jednej fakturze, ale to zwykle najdroższa droga - i często niepotrzebna, bo ten sam hosting ma darmowy DV w pakiecie. Zanim kupisz, sprawdź w panelu, czy nie masz już czegoś w cenie.
- Hostingi w większości mają dziś darmowy SSL z automatycznym odnawianiem, włączany jednym przełącznikiem. Jeżeli Twój tego nie ma, to argument, żeby przy okazji przemyśleć, jaki hosting pod WordPressa wybrać.
- Sklepy na abonament (Shoper, Shopify i podobne) mają certyfikat wliczony w opłatę miesięczną - nie kupujesz go osobno, chyba że podpinasz nietypową konfigurację domeny. Jeżeli platforma każe Ci dopłacać za SSL przy własnej domenie, to pozycja do negocjacji, nie konieczność.
- Cloudflare przed stroną daje darmowy certyfikat na brzegu sieci - ale nie zwalnia z certyfikatu na samym serwerze, jeśli chcesz mieć szyfrowanie na całej trasie.
Czego cena certyfikatu nie załatwi
Sam certyfikat to jedna trzecia roboty - widziałem strony z drogim OV, które i tak straszyły klientów ostrzeżeniem, bo reszta była niedokończona. Po wgraniu certyfikatu trzeba jeszcze:
- Ustawić przekierowanie z HTTP na HTTPS - inaczej stara wersja adresu żyje dalej i dubluje treść
- Poprawić mixed content - obrazki, skrypty i style wczytywane po HTTP na stronie HTTPS potrafią zdjąć kłódkę mimo poprawnego certyfikatu
- Zaktualizować adres strony w ustawieniach systemu, mapę witryny i narzędzia analityczne
- Sprawdzić datę wygaśnięcia i to, czy odnawianie faktycznie działa - najlepiej z powiadomieniem na maila, a nie z pamięci
Ostatni punkt to najczęstsza przyczyna awarii związanych z SSL - certyfikat nie ostrzega przed wygaśnięciem, po prostu pewnego ranka przeglądarka straszy klientów czerwonym ekranem. Co wtedy robić po kolei, opisałem w tekście o tym, gdy certyfikat SSL wygasł.
Jak to poukładać u siebie
Zaczynam od bezpłatnej diagnozy: sprawdzam, co masz realnie wystawione, czy odnawia się samo, czy przekierowania i treści mieszane są ogarnięte i czy jest sens za cokolwiek płacić. Kończy się konkretną odpowiedzią: zostaw jak jest, przełącz jeden suwak albo dopłać, bo masz taki a taki wymóg.
Jeśli wyjdzie z tego realna robota - migracja na HTTPS, porządkowanie subdomen, poprawa treści mieszanych - dostajesz zakres i cenę na piśmie przed startem. A jeśli chcesz spokój na stałe, pilnowanie certyfikatów, kopii i aktualizacji wchodzi w stałą opiekę techniczną.
Najczęstsze pytania
Ile kosztuje certyfikat SSL dla jednej domeny? Od zera - darmowy certyfikat DV jest dziś standardem u większości hostingów i w pełni wystarcza stronom firmowym oraz sklepom. Płatne wersje DV zaczynają się zwykle od kilkudziesięciu złotych rocznie, ale kupujesz w nich wsparcie i gwarancje wystawcy, a nie mocniejsze szyfrowanie. Cenniki zmieniają się często, więc przed zakupem porównaj oferty.
Czy darmowy certyfikat SSL jest gorszy od płatnego? Nie pod względem szyfrowania - protokół i siła połączenia są takie same. Różnica leży w weryfikacji (darmowy potwierdza tylko domenę), w obsłudze klienta i w długości okresu ważności. Dla strony firmowej i typowego sklepu darmowy jest w pełni wystarczający.
Ile kosztuje certyfikat wildcard? Płatny wildcard to zwykle rząd kilkuset złotych rocznie, zależnie od wystawcy i długości zakupu. Darmowa wersja też istnieje - Let’s Encrypt wystawia wildcard po weryfikacji przez wpis DNS.
Czy certyfikat SSL wpływa na pozycje w Google? Brak certyfikatu szkodzi, ale sam certyfikat pozycji nie podnosi, a droższy nie działa lepiej niż darmowy. Realny wpływ ma to, czy przejście na HTTPS zrobiono poprawnie - z przekierowaniami i bez treści mieszanych.
Powiązane: Certyfikat SSL wygasł - co robić · Darmowy czy płatny certyfikat SSL · Stałe wsparcie i pomoc