Let's Encrypt to niekomercyjny urząd certyfikacji, który wystawia certyfikaty SSL bezpłatnie i w pełni automatycznie, przez protokół ACME. Certyfikat jest ważny 90 dni, potwierdza wyłącznie kontrolę nad domeną (typ DV) i daje w przeglądarce dokładnie taką samą kłódkę oraz tę samą siłę szyfrowania co certyfikat płatny. Różnica w cenie nie kupuje mocniejszego szyfrowania, tylko weryfikację firmy przez wystawcę i gwarancję finansową. Dla zdecydowanej większości polskich firm certyfikat od Let's Encrypt jest wystarczający, pod jednym warunkiem: musi odnawiać się automatycznie.
Czym właściwie jest Let's Encrypt
Let's Encrypt prowadzi amerykańska organizacja non-profit Internet Security Research Group. Projekt powstał po to, żeby szyfrowanie przestało być pozycją w cenniku, i to się w dużej mierze udało: certyfikaty tej organizacji obsługują dziś ogromną część stron działających po HTTPS, w tym prawdopodobnie większość polskich stron firmowych postawionych w ostatnich latach.
Z punktu widzenia właściciela firmy najważniejsza jest jedna cecha: cały proces jest maszynowy. Nie ma formularza zamówienia, nie ma handlowca, nie ma pliku wysyłanego mailem. Twój serwer rozmawia z serwerem wystawcy protokołem ACME, udowadnia kontrolę nad domeną i po kilku sekundach dostaje gotowy certyfikat. To dlatego hosting może dać SSL w cenie planu: koszt wystawienia certyfikatu jest w praktyce zerowy.
Konsekwencją tej automatyzacji jest ograniczenie zakresu. Let's Encrypt wystawia wyłącznie certyfikaty typu DV, czyli takie, które potwierdzają kontrolę nad domeną. Nie sprawdza, czy Twoja firma istnieje, nie weryfikuje KRS ani NIP i nie wystawia certyfikatów OV ani EV. Maszyna nie przeczyta odpisu z rejestru, więc tych wariantów w ofercie po prostu nie ma.
Czy darmowy certyfikat SSL jest gorszy od płatnego
Pod względem bezpieczeństwa transmisji nie. Certyfikat od Let's Encrypt używa tego samego protokołu TLS i tej samej siły kluczy co certyfikat za kilkaset złotych, a przeglądarki traktują oba identycznie. Nie istnieje ostrzeżenie w rodzaju „certyfikat darmowy”, nie ma też słabszej kłódki. Odwiedzający nie ma jak odróżnić jednego od drugiego bez zajrzenia w szczegóły certyfikatu.
Realne różnice są cztery i warto je znać przed rozmową z handlowcem, który będzie próbował sprzedać droższy wariant.
| Cecha | Let's Encrypt (DV) | Certyfikat komercyjny OV lub EV |
|---|---|---|
| Siła szyfrowania i protokół | TLS, identycznie jak płatny | TLS, identycznie jak darmowy |
| Co weryfikuje wystawca | Kontrolę nad domeną | Domenę oraz istnienie i dane firmy w rejestrach |
| Gwarancja finansowa wystawcy | Brak | Jest, zwykle od kilkudziesięciu tysięcy dolarów |
| Wsparcie przy problemach | Dokumentacja i społeczność | Wsparcie techniczne wystawcy lub sprzedawcy |
| Ważność | 90 dni | Maksymalnie 200 dni przy wystawieniu od marca 2026 |
Warto zauważyć, że gwarancja finansowa dotyczy sytuacji, w której to wystawca popełni błąd i wyda certyfikat osobie nieuprawnionej. Nie jest to ubezpieczenie od włamania na Twoją stronę ani od wycieku danych z bazy. W praktyce polska firma prowadząca stronę wizytówkową albo sklep, w którym płatności obsługuje Przelewy24 lub PayU, nigdy z tej gwarancji nie skorzysta.
Dlaczego certyfikat Let's Encrypt jest ważny tylko 90 dni
To pytanie wraca najczęściej i zwykle towarzyszy mu podejrzenie, że krótka ważność to sposób na wymuszenie czegoś. Powód jest odwrotny. Krótka ważność ogranicza szkody, gdy klucz prywatny wycieknie, bo skradziony certyfikat przestaje działać po kilku tygodniach zamiast po roku. Wymusza też automatyzację, a zautomatyzowany proces nie zapomina o odnowieniu w sierpniu, kiedy administrator jest na urlopie.
Dla subskrybentów, którzy chcą pójść dalej, Let's Encrypt udostępnia opcjonalne certyfikaty krótkotrwałe, ważne sześć dni. To rozwiązanie dla infrastruktury w pełni zautomatyzowanej, nie dla typowej strony firmowej, ale dobrze pokazuje kierunek, w którym idzie cała branża.
I ten kierunek nie jest już hipotezą. Uchwałą SC-081v3 z kwietnia 2025 roku CA/Browser Forum, organizacja skupiająca urzędy certyfikacji oraz producentów przeglądarek, zdecydowało o skracaniu maksymalnej ważności wszystkich publicznie zaufanych certyfikatów. Uchwałę przyjęto 29 głosami za, przy braku głosów przeciw, z poparciem Apple, Google, Mozilli i Microsoftu.
| Data wystawienia certyfikatu | Maksymalna ważność | Ważność danych weryfikacji domeny |
|---|---|---|
| Do 14 marca 2026 | 398 dni | 398 dni |
| Od 15 marca 2026, obowiązuje obecnie | 200 dni | 200 dni |
| Od 15 marca 2027 | 100 dni | 100 dni |
| Od 15 marca 2029 | 47 dni | 10 dni |
Praktyczny wniosek dla firmy jest taki: 90-dniowa ważność, która jeszcze niedawno wyglądała na dziwactwo Let's Encrypt, za trzy lata będzie dłuższa niż limit obowiązujący certyfikaty komercyjne. Kto dziś płaci za certyfikat i odnawia go ręcznie raz w roku, ten w 2029 roku będzie musiał powtarzać tę czynność blisko osiem razy rocznie. Certyfikat staje się kolejną pozycją w firmowym kalendarzu odnowień, obok licencji na oprogramowanie i abonamentów, a każda pominięta data oznacza tym razem stronę wyłączoną dla klientów.
Więcej o samej zmianie i o tym, co dokładnie oznacza dla właściciela strony, piszemy na stronie o tym, czym jest certyfikat SSL.
Jak Let's Encrypt sprawdza, że domena należy do Ciebie
Zanim wystawi certyfikat, wystawca musi potwierdzić kontrolę nad domeną. Służą do tego wyzwania, po angielsku challenges, i w praktyce spotkasz dwa.
- HTTP-01. Serwer umieszcza pod adresem twojadomena.pl plik o wskazanej nazwie i treści, a wystawca go pobiera. To metoda domyślna dla zwykłych certyfikatów i działa bez dostępu do DNS.
- DNS-01. Do strefy DNS domeny trafia rekord TXT o nazwie _acme-challenge.twojadomena.pl z podaną wartością. Metoda wolniejsza, bo zależy od propagacji, ale jedyna, która pozwala wystawić certyfikat wildcard.
Rozróżnienie ma znaczenie w dwóch sytuacjach. Pierwsza to migracja: jeżeli domena wskazuje jeszcze na stary serwer, weryfikacja HTTP-01 na nowym serwerze się nie powiedzie, bo wystawca pobierze plik ze starej maszyny. Dlatego przy przenoszeniu strony na inny hosting certyfikat wystawia się zwykle dopiero po przełączeniu DNS albo od razu metodą DNS-01.
Druga to subdomeny. Certyfikat obejmujący wszystkie subdomeny naraz można wystawić wyłącznie przez DNS-01, bo ma objąć nazwy, które w chwili wystawienia jeszcze nie istnieją. Jak to zrobić i kiedy w ogóle się to opłaca, opisaliśmy szczegółowo na stronie o certyfikacie wildcard SSL.
Limity Let's Encrypt, o które łatwo zahaczyć
Brak opłat nie oznacza braku ograniczeń. Limity chronią infrastrukturę wystawcy i najczęściej wyczerpuje je nie duża firma, tylko źle napisany skrypt, który po każdym niepowodzeniu natychmiast ponawia próbę. Poniższe wartości pochodzą z aktualnej dokumentacji Let's Encrypt.
- 50 certyfikatów na zarejestrowaną domenę w ciągu 7 dni.
- 5 certyfikatów o dokładnie tym samym zestawie nazw w ciągu 7 dni. To limit, który wyczerpuje pętla ponawiająca odnowienie.
- 5 nieudanych weryfikacji na nazwę w ciągu godziny dla jednego konta. Przy DNS-01 najczęstszą przyczyną jest rekord TXT, który nie zdążył się rozpropagować.
- 300 nowych zamówień na konto w ciągu 3 godzin oraz 10 kont zakładanych z jednego adresu IP w ciągu 3 godzin.
Jeżeli certyfikat wystawia i odnawia hosting, te limity są jego zmartwieniem, nie Twoim. Problem pojawia się przy własnym serwerze i samodzielnie skonfigurowanym kliencie ACME, zwłaszcza gdy ktoś testuje konfigurację na produkcyjnym adresie zamiast na środowisku testowym wystawcy.
Kiedy Let's Encrypt naprawdę nie wystarczy
Sprzedajemy hosting z certyfikatem w cenie, więc tym bardziej warto powiedzieć wprost, kiedy darmowy certyfikat to za mało. Sytuacje są trzy i żadna z nich nie dotyczy siły szyfrowania.
- Wymóg formalny. Przetarg publiczny, audyt bezpieczeństwa albo umowa z korporacyjnym kontrahentem, w której wpisano certyfikat OV lub EV. Wtedy uzasadnieniem jest dokument, a nie technika, i dyskusja o równoważności nic nie da.
- Potrzeba gwarancji finansowej. Dotyczy głównie instytucji finansowych i podmiotów, które taką gwarancję muszą wykazać we własnej polityce bezpieczeństwa.
- Weryfikacja tożsamości firmy jako element zaufania. Certyfikat OV pokazuje dane firmy w szczegółach połączenia. Realnie zagląda tam znikoma część odwiedzających, ale w niektórych branżach bywa to element wymagany przez klienta.
Poza tymi trzema przypadkami dopłata kupuje spokój sumienia, a nie bezpieczeństwo. Jeżeli obecny dostawca każe płacić za sam certyfikat, sensowniej porównać cały rachunek niż jedną pozycję, bo dopłata za SSL bywa tylko wierzchołkiem różnicy w cenie odnowienia. Zestawienie stawek zebraliśmy na stronie certyfikat SSL cena.
Jak sprawdzić, czy Twój hosting obsługuje Let's Encrypt
Deklaracja „SSL w cenie” w cenniku niewiele mówi, bo część dostawców rozumie przez to certyfikat na pierwszy rok albo jeden certyfikat na konto. Trzy pytania rozstrzygają sprawę.
- Czy certyfikat odnawia się automatycznie, bez zgłoszenia z mojej strony? To jedyne pytanie, które naprawdę ma znaczenie przy 90-dniowej ważności.
- Czy certyfikat obejmuje domenę z „www” i bez niego? Brak jednej z tych nazw to najczęstsza przyczyna ostrzeżenia przeglądarki mimo poprawnie zainstalowanego certyfikatu.
- Czy obejmuje także subdomeny i pocztę? Adres mail.firma.pl potrzebuje własnego certyfikatu, inaczej program pocztowy pokaże ostrzeżenie o niezgodności nazwy.
Własny certyfikat sprawdzisz w kilkanaście sekund: kliknij kłódkę w pasku adresu i otwórz szczegóły połączenia, żeby zobaczyć wystawcę oraz datę ważności. Zrób to osobno dla adresu z „www” i bez. Jeżeli zamiast kłódki widzisz ostrzeżenie, przyczynę i sposób naprawy opisaliśmy przy komunikacie twoje połączenie nie jest prywatne.
Najczęstsze pytania
Czy Let's Encrypt jest naprawdę za darmo?
Tak, całkowicie. Organizacja nie pobiera opłat za certyfikaty ani za ich odnawianie, a finansuje się z darowizn i wsparcia sponsorów. Nie ma tu modelu „pierwszy rok gratis”: certyfikat jest bezpłatny również przy każdym kolejnym odnowieniu, a odnowień przy 90-dniowej ważności jest około czterech w roku.
Czy Let's Encrypt wystawia certyfikaty wildcard?
Tak, bezpłatnie, ale wyłącznie przez weryfikację rekordem DNS, czyli metodą DNS-01. Potwierdzenie plikiem na serwerze nie wchodzi w grę, ponieważ certyfikat ma objąć subdomeny, które jeszcze nie istnieją. Klient ACME potrzebuje wtedy dostępu do API operatora DNS, żeby dodawać rekord TXT przy każdym odnowieniu.
Co się stanie, jeżeli zapomnę odnowić certyfikat?
Po upływie ważności przeglądarka pokaże pełnoekranowe ostrzeżenie o niezaufanym połączeniu i większość odwiedzających zawróci, zanim zobaczy treść. Strona nadal działa, ale praktycznie nikt do niej nie dotrze. Dlatego przy 90-dniowej ważności odnawianie musi być automatyczne, a nie wpisane do kalendarza.
Czy certyfikat od Let's Encrypt wpływa na pozycję w Google?
HTTPS jest potwierdzonym, ale bardzo słabym sygnałem rankingowym i typ certyfikatu nie ma dla Google żadnego znaczenia. Realnie szkodzi natomiast brak certyfikatu, bo ostrzeżenie przeglądarki podnosi współczynnik odrzuceń, a to już wpływa na zachowanie użytkowników i pośrednio na widoczność.
Czy mogę używać Let's Encrypt w sklepie internetowym?
Tak. W sklepie, w którym płatności obsługuje zewnętrzny operator, dane karty w ogóle nie przechodzą przez Twój serwer, a certyfikat DV w zupełności wystarcza do ochrony danych z formularza zamówienia. Certyfikat wyższego typu staje się tematem dopiero wtedy, gdy sam przetwarzasz dane kart, co i tak wymaga znacznie więcej niż samego certyfikatu.
Czy przeglądarki ufają Let's Encrypt tak samo jak płatnym wystawcom?
Tak. Certyfikaty tej organizacji są zaufane we wszystkich liczących się przeglądarkach i systemach operacyjnych, w tym w Chrome, Safari, Firefoksie i Edge. Wyjątkiem bywają bardzo stare, nieaktualizowane urządzenia, ale ten problem dotyczy w równym stopniu certyfikatów płatnych wystawionych w ostatnich latach.
Czy muszę cokolwiek robić, żeby certyfikat się odnawiał?
Na hostingu, który obsługuje SSL po swojej stronie, nie musisz robić nic i to jest właściwy stan docelowy. Na własnym serwerze odnawianie realizuje klient ACME uruchamiany z harmonogramu, zwykle dwa razy dziennie, który odnawia certyfikat, gdy do końca ważności zostanie mniej niż 30 dni.