Nie, żaden polski przepis nie mówi wprost „musisz mieć certyfikat SSL”. W praktyce jednak jest on wymagany: RODO nakazuje stosowanie odpowiednich środków technicznych przy przetwarzaniu danych, a formularz kontaktowy to już dane osobowe. Do tego przeglądarki oznaczają strony bez HTTPS jako „Nie zabezpieczona”, a Google od 2014 roku traktuje HTTPS jako sygnał rankingowy.
W sieci krążą uproszczenia w obie strony: raz, że „SSL jest obowiązkowy z mocy prawa”, raz, że „to tylko marketing hostingodawców”. Prawda leży pomiędzy. Obowiązku wprost nie ma, ale konsekwencje braku SSL są realne, od ostrzeżenia w przeglądarce po problem z wykazaniem, że zabezpieczyłeś dane klientów. Zastrzeżenie: to tekst praktyka od hostingu, nie porada prawna.
SSL a RODO: co naprawdę wynika z przepisów
RODO nie wymienia certyfikatu SSL ani protokołu HTTPS. Nie wymienia w ogóle żadnej konkretnej technologii, bo zostało napisane tak, żeby nie zdezaktualizować się po pierwszej zmianie standardu. Zamiast tego artykuł 32 nakłada na administratora i podmiot przetwarzający obowiązek wdrożenia „odpowiednich środków technicznych i organizacyjnych”, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku, i wprost wskazuje szyfrowanie danych osobowych jako jeden z przykładowych środków.
Innymi słowy: przepis nie mówi „SSL”, mówi „szyfrowanie, o ile jest adekwatne do ryzyka”. Organ nadzorczy (UODO) konsekwentnie powtarza, że nie narzuca konkretnych rozwiązań technicznych, tylko ocenia, czy dobrane środki były odpowiednie. I tu pojawia się sedno: przy stronie WWW, która przesyła dane osobowe formularzem, szyfrowanie transmisji jest dziś standardem branżowym dostępnym za darmo i w kilka minut. Trudno w takiej sytuacji obronić tezę, że transmisja otwartym tekstem była „środkiem odpowiednim do ryzyka”.
Nie oznacza to, że ktoś przyjedzie i wystawi mandat za brak kłódki. Oznacza, że jeśli dojdzie do incydentu, na przykład wycieku danych z formularza, brak podstawowego szyfrowania będzie jednym z pierwszych faktów branych pod uwagę przy ocenie, czy dołożyłeś należytej staranności.
Po co SSL na stronie, jeśli nie sprzedaję online
To najczęstsze pytanie właścicieli zwykłych wizytówek. Odpowiedź: dane osobowe zbierasz niemal na pewno, nawet o tym nie myśląc.
- Formularz kontaktowy z polem „imię” i „e-mail” to już przetwarzanie danych osobowych.
- Zapis na newsletter to dane osobowe plus zgoda marketingowa, którą trzeba umieć wykazać.
- Logowanie do panelu WordPressa po HTTP oznacza, że Twoje hasło administratora leci przez sieć w postaci jawnej.
- Formularz rekrutacyjny czy zapis na wizytę to często dane wrażliwsze niż w niejednym sklepie.
Ostatni punkt bywa niedoceniany. Nawet jeśli strona nie zbiera nic od odwiedzających, Ty sam logujesz się do niej z kawiarni czy z sieci u klienta. Bez HTTPS przechwycenie sesji administratora w otwartym Wi-Fi jest zadaniem dla ucznia, nie dla hakera. Hosting z certyfikatem SSL w standardzie rozwiązuje ten problem raz, bez pamiętania o odnowieniach.
Co oznacza komunikat „Nie zabezpieczona” w przeglądarce?
Oznacza, że strona działa po HTTP, czyli bez szyfrowania, więc przeglądarka nie może zagwarantować, że dane nie zostaną podejrzane ani podmienione po drodze. Chrome pokazuje ten napis obok adresu, a przy polach hasła lub karty potrafi dodać wyraźniejsze ostrzeżenie. To komunikat o transporcie danych, nie ocena wiarygodności firmy.
Dla klienta ta różnica nie istnieje. Widzi ostrzeżenie i wychodzi. Najbardziej kosztowny efekt braku SSL to nie kara od organu, tylko formularz kontaktowy, którego nikt nie wypełnia.
Czy brak SSL szkodzi pozycji w Google?
Tak, choć umiarkowanie. Google ogłosiło w sierpniu 2014 roku, że HTTPS jest sygnałem rankingowym, opisując go jako „bardzo lekki” i wpływający na mniej niż 1% zapytań, z zapowiedzią możliwego wzmocnienia. Sam HTTPS nie wyniesie Cię na pierwszą stronę, ale jego brak to dziś anomalia, którą widzą też użytkownicy.
Wpływ na SEO jest tu głównie pośredni. Strona z ostrzeżeniem ma gorszy współczynnik odrzuceń i mniej konwersji, a to sygnały, których Google nie ignoruje.
Co SSL chroni, a czego nie chroni
Tu popełnia się najwięcej błędów. Certyfikat bywa sprzedawany jako „zabezpieczenie strony”, co jest nadużyciem: SSL/TLS zabezpiecza kanał, a nie aplikację po drugiej stronie kanału.
| SSL chroni | SSL NIE chroni |
|---|---|
| Transmisję między przeglądarką a serwerem (podsłuch w Wi-Fi, u operatora) | Przed włamaniem przez podatną wtyczkę lub motyw WordPressa |
| Integralność danych (nikt nie podmieni treści ani nie wstrzyknie reklam po drodze) | Przed słabym hasłem administratora i atakiem słownikowym na logowanie |
| Potwierdzenie, że łączysz się z tą domeną, a nie z podszywającym się serwerem | Przed złośliwym oprogramowaniem już wgranym na serwer |
| Hasła i dane z formularzy w drodze do serwera | Przed wyciekiem bazy danych po stronie źle skonfigurowanej aplikacji |
Czy SSL chroni przed włamaniem?
Nie. SSL szyfruje transmisję, ale nie ma wpływu na to, co dzieje się na serwerze. Strona z idealną kłódką i nieaktualną wtyczką sprzed dwóch lat zostanie zhakowana dokładnie tak samo jak strona bez SSL. Przed samym włamaniem chronią aktualizacje, WAF, hardening i kopie zapasowe.
Jeśli traktujesz certyfikat jako całość ochrony, masz problem, którego jeszcze nie widzisz. Szerzej opisałem to w tekście o tym, jak wygląda bezpieczny hosting WordPress dla firm, a konkretne ustawienia znajdziesz na stronie o zabezpieczeniu strony WordPress.
Typy certyfikatów SSL: DV, OV i EV
Wszystkie trzy szyfrują tak samo mocno. Różnią się tym, co urząd certyfikacji sprawdza przed wydaniem, i ile to trwa.
| Typ | Co weryfikuje | Dla kogo | Czas wydania |
|---|---|---|---|
| DV (Domain Validation) | Tylko kontrolę nad domeną (rekord DNS lub e-mail w domenie) | Strony firmowe, blogi, wizytówki, większość sklepów | Od kilku minut do kilku godzin, automatycznie |
| OV (Organization Validation) | Domenę plus istnienie firmy w rejestrach (KRS, CEIDG) | Firmy, którym zależy na widocznej nazwie podmiotu w szczegółach certyfikatu | Zwykle od 1 do 5 dni roboczych |
| EV (Extended Validation) | Najszerszą weryfikację prawną i reprezentacji firmy | Banki, instytucje finansowe, podmioty z wymogami branżowymi | Zwykle od 2 do 10 dni roboczych |
Ważna zmiana, o której sprzedawcy certyfikatów mówią niechętnie: dawny zielony pasek z nazwą firmy przy EV zniknął. Chrome i Firefox usunęły to specjalne oznaczenie z paska adresu, więc dla przeciętnego odwiedzającego strona z certyfikatem EV wygląda dziś identycznie jak strona z darmowym DV. Kłódka to kłódka. Nazwę podmiotu trzeba wyklikać w szczegółach certyfikatu, czego praktycznie nikt nie robi.
Czy certyfikat SSL jest płatny?
Nie musi być. Certyfikaty DV od Let's Encrypt są darmowe, wydawane automatycznie i szyfrują dokładnie tak samo jak płatne. Płaci się dopiero za weryfikację firmy (OV, EV) albo za gwarancje i wsparcie urzędu certyfikacji. Według publicznych cenników polskich resellerów OV kosztuje zwykle od około 179 do 449 zł rocznie, a EV od około 399 zł wzwyż. Dopłacasz za weryfikację tożsamości, nie za lepsze szyfrowanie.
Rozpiętość cen na polskim rynku jest przy tym większa, niż większość firm się spodziewa: ten sam efekt w pasku adresu kosztuje od 0 zł do prawie 490 zł netto rocznie. Aktualne kwoty u poszczególnych dostawców zestawiliśmy na stronie o tym, ile kosztuje certyfikat SSL.
Czy darmowy SSL wystarczy dla firmy?
Dla zdecydowanej większości firm tak. Darmowy certyfikat DV zapewnia identyczne szyfrowanie co płatny, jest akceptowany przez wszystkie przeglądarki i wystarcza pod RODO oraz pod bramki płatnicze. Płatny OV lub EV ma sens, gdy wymaga tego regulator, korporacyjny dział zakupów albo polityka bezpieczeństwa Twojego klienta. Dla zwykłej strony firmowej darmowy certyfikat w cenie planu w zupełności wystarcza, także w tanim hostingu dla firm.
Jedyny praktyczny haczyk darmowych certyfikatów to krótki okres ważności. Let's Encrypt wydaje domyślnie certyfikaty na 90 dni i zapowiedział stopniowe skracanie tego okresu w kolejnych latach. Ręczne odnawianie co kwartał byłoby udręką, dlatego liczy się nie „czy hosting daje SSL”, tylko „czy hosting odnawia go automatycznie i sam pilnuje terminu”. U nas darmowy certyfikat Let's Encrypt jest w cenie każdego planu i odnawia się automatycznie, bez przypominajek w kalendarzu.
Strona nie jest zabezpieczona: co zrobić krok po kroku
Jeśli widzisz ostrzeżenie w przeglądarce, przyczyna prawie zawsze mieści się w jednym z czterech scenariuszy.
Jeżeli certyfikatu po prostu jeszcze nie ma, sama instalacja jest dziś kwestią kilku minut w panelu hostingu. Rozpisaliśmy ją, razem z wymuszeniem HTTPS i naprawą mieszanej treści, w instrukcji o tym, jak zainstalować certyfikat SSL.
- Nie ma certyfikatu w ogóle. Włącz go w panelu hostingu (u dostawcy z SSL w standardzie to jedno kliknięcie) i przekieruj cały ruch z HTTP na HTTPS przekierowaniem 301.
- Certyfikat wygasł. Klasyka przy ręcznie wystawionych certyfikatach. Rozwiązaniem docelowym jest automatyczne odnawianie, nie kolejne przypomnienie w kalendarzu.
- Mixed content. Strona ma HTTPS, ale wciąż ładuje obrazki, skrypty lub czcionki po HTTP, więc przeglądarka odbiera kłódkę. Trzeba znaleźć te zasoby (konsola przeglądarki je wypisze) i podmienić adresy w bazie danych oraz w motywie.
- Certyfikat na złą domenę. Wystawiony na domenę bez „www” albo na starą domenę po migracji. Trzeba go przewydać na właściwe nazwy.
Po naprawie sprawdź jeszcze dwie rzeczy: czy w Google Search Console jako właściwość dodana jest wersja HTTPS, oraz czy wewnętrzne linki i mapa witryny wskazują na adresy https. Inaczej Google będzie latami indeksował dwie wersje tej samej strony. Jeżeli witryna jest tak stara, że mixed content siedzi w setkach zahardkodowanych adresów w motywie, uczciwa kalkulacja bywa taka, że taniej i szybciej wychodzi zamówienie nowej strony firmowej niż łatanie kodu sprzed dekady.
HTTPS dla firmy: sklep, płatności i integracje
W sklepie internetowym dyskusja się kończy, zanim się zacznie. Bramki płatnicze, PayU, Przelewy24 czy Stripe, wymagają HTTPS na stronie realizującej zamówienie, a standard PCI DSS nie dopuszcza przesyłania danych kart nieszyfrowanym kanałem. Bez certyfikatu po prostu nie uruchomisz płatności. To samo dotyczy większości integracji: webhooki, API kurierów czy logowanie przez zewnętrznego dostawcę tożsamości dziś zwyczajnie nie działają po HTTP.
Jeśli prowadzisz sprzedaż online, spójrz na temat szerzej niż przez pryzmat kłódki. Certyfikat to warunek wstępny, a nie osiągnięcie. Reszta, czyli wydajność przy większym ruchu, kopie zapasowe i reakcja na incydent, decyduje o tym, czy sklep zarabia. Opisaliśmy to na stronie o hostingu sklepu internetowego.
Certyfikat SSL dla strony firmowej: praktyczna lista kontrolna
- Certyfikat aktywny na domenie z „www” i bez „www”.
- Przekierowanie 301 z HTTP na HTTPS ustawione na poziomie serwera.
- Automatyczne odnawianie włączone i przetestowane (nie tylko obiecane w ofercie).
- Zero mixed content: konsola przeglądarki bez ostrzeżeń.
- Adres HTTPS w Search Console, w mapie witryny i w linkach wewnętrznych.
- Polityka prywatności zgodna z tym, co strona faktycznie zbiera przez formularze.
- Umowa powierzenia danych (DPA) podpisana z hostingodawcą.
Gdzie w tym wszystkim jest hosting
Realny koszt SSL to nie cena certyfikatu, tylko czas na pilnowanie ważności, przewydawanie po zmianie domeny i gaszenie pożaru, gdy strona nagle wyświetla ostrzeżenie w poniedziałek rano. Dlatego certyfikat lepiej mieć wliczony w usługę niż kupowany osobno. Sprawdzając oferty, patrz na to, co jest w cenie abonamentu, a nie na sam cennik startowy: porównanie zebraliśmy w zestawieniu najlepszych hostingów dla firm.
W naszych planach darmowy certyfikat Let's Encrypt jest w cenie i odnawia się automatycznie: w planie Startowym za 29 zł netto miesięcznie, w planie Biznes za 69 zł (zarządzany WordPress, kopie zapasowe z 30 dni) oraz w planie Zarządzany Pro za 149 zł, gdzie dochodzi WAF, hardening i opiekun techniczny. Serwery stoją w Polsce, wsparcie jest po polsku, faktura VAT wystawia się automatycznie, a cena odnowienia równa się cenie startowej. Szczegóły są w cenniku hostingu dla firm, a jeśli ważne jest dla Ciebie, gdzie fizycznie leżą dane klientów, wyjaśniamy to na stronie o serwerach w Polsce.
Chcesz to zamknąć bez czytania kolejnych poradników? Zobacz, jak działa hosting z certyfikatem SSL w cenie: 14 dni za darmo bez podawania karty, darmowa migracja istniejącej strony i kłódka, która odnawia się sama, dopóki jesteś klientem.
Najczęściej zadawane pytania
Czy certyfikat SSL trzeba zgłaszać do UODO?
Nie. Certyfikat to środek techniczny, a nie czynność podlegająca zgłoszeniu. Do UODO zgłasza się naruszenia ochrony danych osobowych, jeśli wystąpią i spełniają przesłanki z RODO. Samo wdrożenie HTTPS jest elementem dokumentacji bezpieczeństwa, nie zgłoszeniem.
Czy przejście na HTTPS zaszkodzi mojej pozycji w Google?
Zrobione poprawnie, czyli z przekierowaniami 301, zaktualizowaną mapą witryny i bez mixed content, nie powinno zaszkodzić. Przejściowe wahania w indeksie przez kilka dni są normalne. Problemy pojawiają się dopiero przy niekompletnej migracji, gdy część strony zostaje dostępna pod obiema wersjami adresu.
Ostatnia aktualizacja: lipiec 2026.