Nic tak nie wygania klientów ze strony jak czerwony ekran „Połączenie nie jest prywatne” - a przyczyną jest zwykle drobiazg, który naprawia się w kwadrans. Certyfikat SSL to cyfrowy dokument, który mówi przeglądarce: ta strona jest tym, za co się podaje, a połączenie z nią jest szyfrowane. Bez ważnego certyfikatu przeglądarka nie wpuszcza ludzi po cichu - wystawia wielkie ostrzeżenie, którego większość klientów nie przeklika. Dla sklepu to zamknięta kasa; dla firmowej strony - sygnał „coś tu jest nie tak” wysyłany każdemu, kto wszedł.
Jak rozpoznać, co się zepsuło
Komunikaty różnią się między przeglądarkami, ale sprowadzają się do trzech scenariuszy:
- „Certyfikat wygasł” (NET::ERR_CERT_DATE_INVALID) - certyfikat miał datę ważności i minęła. Najczęstszy przypadek: automat, który miał go odnawiać, przestał działać i nikt nie zauważył
- „Certyfikat nie pasuje do domeny” (ERR_CERT_COMMON_NAME_INVALID) - certyfikat jest, ale wystawiony na inny adres, np. na
www.twojafirma.pl, a klient wszedł bezwww(albo odwrotnie) - Kłódka z ostrzeżeniem zamiast czerwonego ekranu - certyfikat działa, ale strona ładuje część elementów (obrazki, skrypty) po niezaszyfrowanym
http://. To tak zwane mixed content - typowa pamiątka po przenosinach strony na SSL
Szybka diagnoza bez technikaliów: wejdź na stronę z telefonu (z sieci komórkowej, nie firmowego Wi-Fi) i z komputera. Jeśli wszędzie to samo ostrzeżenie - problem jest na serwerze, nie u Ciebie.
Certyfikat wygasł - naprawa
Dziś praktycznie każdy hosting daje darmowe certyfikaty Let’s Encrypt z automatycznym odnawianiem co 90 dni. Jeśli certyfikat wygasł, to znaczy, że ten automat się zaciął. Kolejność działań:
- Panel hostingu → sekcja SSL/Certyfikaty. Znajdź swoją domenę i kliknij „odnów” albo „wygeneruj nowy” (Let’s Encrypt). W większości paneli to jeden przycisk i 2-3 minuty czekania
- Sprawdź, czemu automat nie zadziałał. Najczęstsze powody: domena niedawno zmieniała ustawienia DNS, ktoś przełączał serwery, skończyła się ważność płatnego certyfikatu, którego nikt nie pilnował, albo hosting wymaga ręcznego potwierdzenia raz w roku
- Po odnowieniu odczekaj kilka minut i sprawdź w trybie prywatnym przeglądarki - zwykłe okno potrafi trzymać stare ostrzeżenie w pamięci podręcznej
Jeśli w panelu nie ma opcji SSL albo przycisk kończy się błędem - napisz do pomocy hostingu, to ich infrastruktura. A jeśli strona stoi za Cloudflare, sprawdź też tam: tryb SSL powinien być ustawiony na „Full (strict)”, a certyfikat brzegowy Cloudflare odnawia się sam.
Co pomaga: ustaw przypomnienie albo monitoring ważności certyfikatu. Darmowe narzędzia potrafią wysłać maila na 14 dni przed wygaśnięciem - to 2 minuty konfiguracji, które oszczędzają dzień z czerwonym ekranem. U klientów pod stałą opieką ważność certyfikatu sprawdza monitoring, więc ten tekst czytają z ciekawości, nie z potrzeby.
Certyfikat jest, ale „nie pasuje do domeny”
To problem konfiguracji, nie ważności. Certyfikat musi obejmować wszystkie warianty adresu, którymi ludzie wchodzą - z www i bez. Przy generowaniu Let’s Encrypt w panelu hostingu zaznacz oba warianty (zwykle checkbox „włącz też www”). Do tego strona powinna mieć jedno kanoniczne przekierowanie: wszystko, co wchodzi na http:// albo na wariant z www, ląduje na docelowym https:// - wtedy klient nigdy nie zobaczy złego wariantu.
Mixed content - kłódka z ostrzeżeniem
Strona ma ważny certyfikat, ale w kodzie zostały odnośniki do obrazków czy skryptów po starym http://. Przeglądarka szyfruje główne połączenie, ale marudzi o niezaszyfrowanych elementach - i ma rację. W WordPressie zwykle wystarczy: Ustawienia → Ogólne → oba adresy (WordPress i witryny) na https://, a dla starych treści przeszukanie bazy i podmiana http://twojadomena na https://twojadomena (są do tego bezpieczne wtyczki migracyjne). Po podmianie sprawdź kilka najstarszych wpisów - to tam najczęściej siedzą zaszyte stare adresy.
Czy to groźne dla pozycji w Google?
Krótko: dzień z wygasłym certyfikatem nie zburzy pozycji. Ale Google od lat traktuje szyfrowanie jako standard - strona, która regularnie straszy ostrzeżeniami, traci i zaufanie ludzi, i sygnały jakości. Osobna sprawa: czerwony ekran bywa też objawem poważniejszych problemów - jeśli oprócz niego dzieją się dziwne przekierowania albo obce treści, przeczytaj plan ratunkowy dla zhakowanej strony, bo to może nie być kwestia certyfikatu.
Najczęstsze pytania
Czy certyfikat SSL musi kosztować? Dla zwykłej strony firmowej i sklepu - nie. Let’s Encrypt jest darmowy i technicznie równoważny płatnym certyfikatom w podstawowym zakresie. Płatne warianty mają sens w specyficznych zastosowaniach korporacyjnych, nie dla typowej firmy.
Strona działa u mnie, a klienci widzą ostrzeżenie - jak to możliwe?
Twoja przeglądarka mogła zapamiętać stary, dobry stan, albo część odwiedzających wchodzi wariantem adresu, którego certyfikat nie obejmuje (np. z www). Sprawdź stronę w trybie prywatnym i w obu wariantach adresu.
Ile kosztuje naprawa u specjalisty? Odnowienie i poukładanie certyfikatu z przekierowaniami to krótka, przewidywalna robota - godziny, nie dni. Wycenę podaję po sprawdzeniu strony, na piśmie.
Powiązane: Strona zhakowana - plan ratunkowy · Błąd 500 w WordPress · Stała opieka nad stroną