Certyfikat SSL, darmowy Let's Encrypt czy płatny?
Certyfikat SSL odpowiada za „kłódkę" i https:// przy adresie strony. Szyfruje połączenie między odwiedzającym a serwerem, żeby nikt po drodze nie podejrzał ani nie podmienił danych. Dziś to standard: bez niego przeglądarki straszą komunikatem „strona niezabezpieczona", a Google obniża pozycje. Najczęstsze pytanie brzmi: brać darmowy certyfikat czy płatny? Krótka odpowiedź: dla większości firmowych stron darmowy w zupełności wystarczy. Poniżej tłumaczymy dlaczego, jak go włączyć krok po kroku i kiedy naprawdę warto dopłacić.
Czym jest Let's Encrypt i dlaczego jest darmowy
Let's Encrypt to urząd certyfikacji prowadzony przez non-profit (Internet Security Research Group), wspierany m.in. przez duże firmy technologiczne. Jego celem jest, żeby całe połączenie w internecie było szyfrowane, dlatego certyfikaty wydaje za darmo i automatycznie. Są zaufane przez wszystkie popularne przeglądarki dokładnie tak samo jak certyfikaty płatne. „Darmowy" nie znaczy tu „gorszy" ani „prowizoryczny", to ten sam poziom szyfrowania, z którego korzystają miliony stron na świecie.
Darmowy a płatny, najważniejsze różnice
Żeby rozwiać główny mit: oba szyfrują identycznie. Płatny nie chroni „mocniej". Różnica jest w rodzaju weryfikacji i dodatkach, nie w bezpieczeństwie połączenia.
Darmowy (Let's Encrypt):
- To samo szyfrowanie co płatny, ta sama kłódka w przeglądarce.
- Weryfikacja domeny (DV): potwierdza, że certyfikat należy do właściciela domeny.
- Odnawia się automatycznie, bezobsługowo.
- Koszt: 0 zł, dostępny w cenie u większości hostingów.
Płatny:
- To samo szyfrowanie (nie mocniejsze), ale z dodatkami wystawcy.
- Może potwierdzać dane firmy (OV/EV), gwarancję finansową, obejmować wiele subdomen (wildcard).
- Wymaga zwykle ręcznego zamawiania i odnawiania.
- Koszt: od kilkudziesięciu złotych rocznie wzwyż.
Jak włączyć darmowy SSL krok po kroku
Na większości hostingów zajmuje to dosłownie chwilę i nie wymaga wiedzy technicznej:
- Zaloguj się do panelu hostingu (cPanel, DirectAdmin albo panel Twojej firmy hostingowej).
- Znajdź sekcję „SSL/TLS", „Certyfikaty SSL" lub wprost „Let's Encrypt".
- Wybierz swoją domenę i kliknij „Zainstaluj" albo „Wygeneruj" certyfikat Let's Encrypt.
- Upewnij się, że włączone jest automatyczne odnawianie (zwykle jest domyślnie).
- Włącz wymuszanie HTTPS (przekierowanie z
http://nahttps://), żeby cała strona ładowała się szyfrowanym połączeniem. - Sprawdź kłódkę i to, czy nie ma ostrzeżenia o „mieszanej zawartości".
Na WordPressie po wystawieniu certyfikatu ustaw adres witryny na https:// w ustawieniach, a jeśli po zmianie kłódka jest przekreślona, użyj wtyczki wymuszającej HTTPS i naprawiającej mieszaną zawartość. Na własnym serwerze (VPS) certyfikat wystawia i odnawia narzędzie typu Certbot.
Czy darmowy SSL jest mniej bezpieczny?
Nie. Poziom szyfrowania jest identyczny, płatny certyfikat nie szyfruje „mocniej". Różnica leży w rodzaju weryfikacji i dodatkach od wystawcy, nie w samym bezpieczeństwie połączenia. Jedyny realny „minus" darmowego certyfikatu to krótszy okres ważności (kilka tygodni), ale ponieważ odnawia się automatycznie, w codziennym użyciu w ogóle tego nie odczujesz, o ile odnawianie jest poprawnie skonfigurowane.
Hosting z darmowym SSL
Wybierając hosting, potraktuj darmowy SSL jako standard, nie jako atut, za który warto dopłacać. Praktycznie każdy sensowny hosting w Polsce oferuje dziś Let's Encrypt w cenie. Jak to sprawdzić przed zakupem? Poszukaj w opisie usługi frazy „darmowy certyfikat SSL" lub „Let's Encrypt", albo zapytaj wprost supportu, czy certyfikat jest wliczony i czy odnawia się automatycznie. Jeśli sprzedawca próbuje policzyć osobno za „certyfikat bezpieczeństwa", a chodzi o zwykły certyfikat domenowy, najczęściej płacisz za coś, co gdzie indziej dostajesz za darmo.
Kiedy warto rozważyć płatny
Płatne certyfikaty nie szyfrują „lepiej", ale oferują dodatki, które w pewnych sytuacjach mają wartość:
- Certyfikat z weryfikacją organizacji (OV/EV): pokazuje, że za stroną stoi zweryfikowana firma; bywa istotny dla dużych sklepów i instytucji zaufania.
- Gwarancja finansowa i wsparcie od wystawcy.
- Certyfikat wieloznakowy (wildcard) wygodny przy wielu subdomenach.
Dla małej i średniej firmy darmowy certyfikat z automatycznym odnawianiem to rozwiązanie tanie, pewne i bezobsługowe. Płatny ma sens, gdy potrzebujesz konkretnego dodatku, nie „lepszej kłódki".
Najważniejsze: żeby nie wygasł
Największy problem z certyfikatami to nie wybór darmowy/płatny, tylko przegapiony termin ważności. Wygasły certyfikat = ostrzeżenie na całej stronie i uciekający klienci. Dlatego kluczowe jest automatyczne odnawianie i monitoring terminu.
Nie masz pewności, do kiedy ważny jest Twój certyfikat i domena? Sprawdzisz to w kilka sekund naszym darmowym narzędziem Ważność SSL i domeny, pokaże, ile dni zostało i czy nie zbliża się data wygaśnięcia.
Najczęstsze pytania
Czy darmowy certyfikat SSL jest bezpieczny?
Tak. Darmowy Let's Encrypt zapewnia dokładnie to samo szyfrowanie co certyfikat płatny i jest tak samo zaufany przez przeglądarki. „Darmowy" nie oznacza słabszej ochrony.
Jak długo ważny jest certyfikat Let's Encrypt?
Krócej niż płatne, bo zwykle około 90 dni, ale odnawia się automatycznie w tle. Dobrze skonfigurowany po prostu nigdy nie wygasa, bez Twojego udziału.
Czy darmowy SSL wystarczy do sklepu internetowego?
Dla większości małych i średnich sklepów tak, w pełni. Szyfrowanie płatności i danych klientów jest identyczne. Płatny (OV/EV) rozważ dopiero przy dużym sklepie, gdzie chcesz dodatkowo pokazać w certyfikacie zweryfikowane dane firmy.
Który hosting daje darmowy SSL?
Zdecydowana większość hostingów w Polsce ma Let's Encrypt w cenie i włącza go jednym kliknięciem lub automatycznie. Przed zakupem sprawdź w opisie usługi frazę „darmowy SSL / Let's Encrypt" albo dopytaj support.
Czym różni się darmowy SSL od płatnego?
Nie poziomem szyfrowania, bo ten jest ten sam. Płatny może dodatkowo potwierdzać dane firmy, obejmować wiele subdomen (wildcard) i dawać gwarancję finansową wystawcy. Za to darmowy odnawia się sam i nic nie kosztuje.
Ustawimy i przypilnujemy
Konfigurujemy certyfikat (najczęściej darmowy z auto-odnawianiem), wymuszamy HTTPS na całej stronie i monitorujemy termin ważności, żeby nigdy Cię nie zaskoczył.
Masz problem z certyfikatem albo ostrzeżenie o braku bezpieczeństwa? Odezwij się.