Do firmowej strony i do zdecydowanej większości sklepów darmowy certyfikat SSL wystarcza w zupełności, bo szyfruje dokładnie tak samo jak płatny. Przeglądarka pokazuje tę samą kłódkę, Google traktuje obie strony identycznie, a klient nie ma jak sprawdzić, ile zapłaciłeś. Za dopłatę kupujesz trzy rzeczy: weryfikację firmy wpisaną w certyfikat, wsparcie techniczne wystawcy i formalną gwarancję finansową. Poniżej rozkładam na czynniki pierwsze, kiedy te trzy rzeczy mają sens, a kiedy są wydatkiem bez pokrycia.
Czym w ogóle jest certyfikat SSL
Certyfikat SSL to plik wystawiony przez zaufany urząd certyfikacji, który potwierdza, że dana domena należy do tego, kto się nią posługuje, i pozwala zestawić szyfrowane połączenie między przeglądarką a serwerem. Dzięki niemu adres zaczyna się od https, a dane z formularza czy z koszyka nie lecą przez sieć otwartym tekstem.
Kluczowe rozróżnienie, o które najczęściej ktoś się potyka: certyfikat nie sprawdza, czy strona jest bezpieczna ani czy firma jest uczciwa. Potwierdza wyłącznie tożsamość domeny i włącza szyfrowanie. Zhakowana strona z kłódką jest nadal zhakowana, tylko szyfrowanie działa.
Czy darmowy certyfikat jest słabszy technicznie
Nie. Siła szyfrowania nie zależy od ceny certyfikatu, tylko od algorytmu i konfiguracji serwera. Darmowy certyfikat od Let’s Encrypt używa tych samych standardów co certyfikat za kilkaset złotych rocznie i jest tak samo domyślnie zaufany we wszystkich liczących się przeglądarkach oraz systemach.
Różnice, które realnie istnieją:
| Cecha | Darmowy (Let’s Encrypt) | Płatny |
|---|---|---|
| Siła szyfrowania | taka sama | taka sama |
| Zaufanie przeglądarek | pełne | pełne |
| Kłódka w pasku adresu | tak | tak |
| Weryfikacja firmy w certyfikacie | nie | przy OV i EV |
| Wsparcie techniczne wystawcy | brak, tylko dokumentacja i społeczność | tak, zwykle w cenie |
| Gwarancja finansowa | brak | tak, ale dotyczy poszkodowanej strony trzeciej, nie Ciebie |
| Odnawianie | automatyczne, co kilkadziesiąt dni | ręczne albo półautomatyczne |
Ostatni wiersz jest ważniejszy, niż wygląda. Darmowy certyfikat ma krótki okres ważności właśnie po to, żeby wymusić automatyzację, i przy poprawnej konfiguracji odnawia się sam, bez Twojego udziału. Płatny bywa odnawiany ręcznie, przez maila z przypomnieniem, który ktoś przegapi. Co się dzieje potem, opisałem osobno w tekście o tym, co robić, gdy certyfikat SSL wygasł.
Rodzaje certyfikatów: DV, OV, EV, wildcard
Rodzaje różnią się tym, co wystawca sprawdza przed wydaniem, i tym, ile domen obejmuje jeden plik.
| Typ | Co jest weryfikowane | Dla kogo |
|---|---|---|
| DV (Domain Validation) | tylko kontrola nad domeną, wydanie w minuty | strony firmowe, blogi, większość sklepów |
| OV (Organization Validation) | dodatkowo istnienie firmy w rejestrach, kilka dni | instytucje, duże marki, wymóg przetargowy |
| EV (Extended Validation) | rozszerzona weryfikacja prawna firmy | banki, ubezpieczyciele, branża finansowa |
| Wildcard | domena plus wszystkie subdomeny na jednym poziomie | wiele subdomen, np. sklep, blog, panel |
| Multi-domain / SAN | kilka różnych domen w jednym certyfikacie | serwis z kilkoma markami lub językami |
Darmowe certyfikaty są zawsze typu DV, przy czym wersja wildcard też jest dostępna za darmo, tylko wymaga potwierdzenia przez wpis w DNS zamiast prostszej metody plikowej. OV i EV kupisz wyłącznie odpłatnie, bo dopłacasz w nich za pracę człowieka, który sprawdza dokumenty firmy.
Jedna rzecz warta powiedzenia wprost, bo wciąż pojawia się w ofertach sprzedażowych: EV nie daje już zielonego paska z nazwą firmy. Przeglądarki wycofały to oznaczenie kilka lat temu, bo w praktyce użytkownicy go nie zauważali i nie wpływało na ich decyzje. Nazwę firmy zobaczy dziś tylko ten, kto sam wejdzie w szczegóły certyfikatu, czyli praktycznie nikt spośród Twoich klientów.
Za co realnie płacisz przy certyfikacie płatnym
Płacisz za trzy rzeczy, z których żadna nie dotyczy szyfrowania.
- Weryfikacja tożsamości firmy wpisana w certyfikat. Ma znaczenie tam, gdzie ktoś tę weryfikację faktycznie sprawdza: w przetargach, w audytach, w rozmowach z dużym kontrahentem, czasem w wymaganiach operatora płatności.
- Wsparcie wystawcy. Gdy coś nie wchodzi na serwer, masz do kogo napisać po polsku i dostać odpowiedź w rozsądnym czasie. Przy darmowym certyfikacie zostaje dokumentacja i fora, więc realnie kupujesz sobie spokój albo płacisz komuś za wdrożenie.
- Gwarancja finansowa, zwykle opisana kwotą w dolarach. Brzmi poważnie, ale chroni ona osobę poszkodowaną błędnym wydaniem certyfikatu, a nie właściciela strony. W praktyce dla małej firmy jest to zapis martwy i nie warto podejmować na jego podstawie decyzji.
Ile to kosztuje
Cenniki wystawców i odsprzedawców zmieniają się kilka razy w roku, więc traktuj poniższe kwoty jako rząd wielkości do zweryfikowania w dniu zakupu, a nie jako cennik.
| Wariant | Orientacyjny koszt roczny | Uwagi |
|---|---|---|
| DV darmowy | 0 zł | Let’s Encrypt i podobni wystawcy, w większości hostingów jednym kliknięciem |
| DV płatny | kilkadziesiąt do ok. 200 zł netto | głównie za wsparcie i wygodę panelu odsprzedawcy |
| OV | kilkaset zł netto | weryfikacja firmy, kilka dni oczekiwania |
| EV | od kilkuset do ponad tysiąca zł netto | uzasadniony w finansach i przy twardych wymogach |
| Wildcard płatny | kilkaset zł netto wzwyż | darmowy odpowiednik istnieje, wymaga tylko dostępu do DNS |
Do rachunku doliczaj czas wdrożenia, jeśli hosting nie ma obsługi jednym kliknięciem. Sam certyfikat za 0 zł potrafi kosztować kilka godzin pracy na źle dobranym serwerze, dlatego przy wyborze hostingu warto od razu patrzeć, czy ma wbudowaną automatyczną obsługę SSL. Rozpisałem to szerzej przy okazji tekstu o tym, jaki hosting pod WordPressa wybrać. Jeżeli szukasz samego rozliczenia opłacalności, mam też osobny materiał o cenie certyfikatu SSL i tym, kiedy warto płacić.
Kiedy darmowy wystarczy, a kiedy dopłacić
Darmowy certyfikat DV wystarczy, jeśli prowadzisz stronę firmową, blog, portfolio, landing page albo sklep, który przekazuje płatności do zewnętrznego operatora, czyli do PayU, Przelewy24, Stripe lub BLIK-a przez bramkę. W takim układzie danych kart w ogóle nie przetwarzasz u siebie i nie ma czego dokładać.
Dopłatę warto rozważyć w czterech sytuacjach:
- Twój kontrahent lub przetarg tego wymaga i masz to na piśmie w specyfikacji.
- Działasz w finansach, ubezpieczeniach albo medycynie, gdzie weryfikacja firmy bywa elementem zgodności z regulacjami.
- Masz środowisko, w którym automatyczne odnawianie jest niemożliwe, na przykład urządzenia lub systemy wewnętrzne bez dostępu do internetu.
- Chcesz mieć wsparcie pod telefonem i wolisz kupić spokój, niż uczyć się konfiguracji.
Poza tymi przypadkami dopłata nie kupuje ani lepszego bezpieczeństwa, ani lepszej pozycji w Google. Google od lat traktuje https jako sygnał, ale nie rozróżnia typów certyfikatu, więc EV nie podniesie Cię wyżej niż DV.
Co psuje się częściej niż sam certyfikat
Najczęstsze problemy z SSL nie wynikają z wyboru wystawcy, tylko z wdrożenia. Trzy klasyki, które widzę na stronach trafiających do naprawy:
- Mieszana treść. Certyfikat jest, ale część obrazków, skryptów albo czcionek nadal ładuje się przez
http, więc kłódka znika albo pojawia się ostrzeżenie. Naprawa polega na podmianie adresów w bazie i w ustawieniach motywu. - Brak przekierowania. Strona działa równolegle pod
httpihttps, co dubluje adresy dla wyszukiwarki i rozmywa sygnały. Potrzebne jest jedno stałe przekierowanie na wersję szyfrowaną plus poprawny adres w ustawieniach WordPressa. - Certyfikat wygasły w cichy sposób. Odnawianie nie zadziałało, mail poszedł na starą skrzynkę, a przeglądarka wita klientów pełnoekranowym ostrzeżeniem. Klienci nie czytają takich komunikatów, tylko zamykają kartę.
Te trzy rzeczy kosztują więcej niż jakikolwiek certyfikat, bo uderzają w konwersję i w techniczne fundamenty widoczności jednocześnie.
Jak to poukładać u siebie
Jeśli nie masz pewności, co dokładnie działa na Twoim serwerze i czy odnawianie jest naprawdę automatyczne, zaczynam od bezpłatnej diagnozy: sprawdzam typ i datę ważności certyfikatu, sposób odnawiania, przekierowania oraz mieszaną treść i mówię wprost, czy jest coś do zrobienia, czy nie ma. Przy większej robocie, na przykład przy porządkowaniu adresów po migracji albo konfiguracji wildcard dla kilku subdomen, dostajesz wycenę na piśmie przed startem, a nie rachunek po fakcie. Jeżeli wolisz w ogóle nie myśleć o terminach ważności, ta pilnowka wchodzi w zakres stałej opieki technicznej razem z aktualizacjami i kopiami zapasowymi.
Najczęstsze pytania
Czy certyfikat SSL jest darmowy? Tak, można mieć w pełni zaufany certyfikat SSL za darmo. Najpopularniejszy darmowy wystawca to Let’s Encrypt, a jego certyfikaty są domyślnie akceptowane przez wszystkie przeglądarki. Większość hostingów ma tę opcję wbudowaną w panel i włącza się ją jednym kliknięciem.
Czy darmowy certyfikat SSL jest bezpieczny? Tak, poziom szyfrowania jest identyczny jak w certyfikatach płatnych. Różnica dotyczy wyłącznie zakresu weryfikacji podmiotu, wsparcia technicznego i gwarancji finansowej, a nie samej ochrony przesyłanych danych.
Gdzie kupić certyfikat SSL najtaniej? Najtańszy jest darmowy DV z panelu hostingu, o ile hosting go wspiera. Jeśli potrzebujesz płatnego, ceny u odsprzedawców bywają wyraźnie niższe niż bezpośrednio u wystawcy, przy tym samym certyfikacie. Przed zakupem sprawdź tylko, czy w cenie jest wsparcie przy instalacji.
Czy certyfikat SSL trzeba odnawiać co roku? Częściej. Maksymalny okres ważności certyfikatów jest systematycznie skracany przez branżę i zmierza w stronę kilkudziesięciu dni, więc odnawianie ręczne przestaje mieć sens. Ustaw automatyczne odnawianie i monitoring daty ważności, niezależnie od tego, czy certyfikat jest darmowy, czy płatny.
Powiązane: Certyfikat SSL wygasł - co robić · Cena certyfikatu SSL - czy warto płacić · Stałe wsparcie i pomoc