Certyfikat SSL - co to jest, jak działa i dlaczego wygasa
10 lipca 2026 · 4 min czytania · zaktualizowano 29 września 2026
Kłódka obok adresu strony i „https” to znak, że połączenie chroni certyfikat SSL/TLS. Robi on dwie rzeczy: szyfruje dane między Twoją przeglądarką a serwerem, więc nikt po drodze ich nie podejrzy, oraz potwierdza, że serwer należy do domeny widocznej w pasku adresu. W tym poradniku wyjaśniamy, co z tego wynika dla Ciebie jako użytkownika i dlaczego właściciele stron muszą dziś odnawiać certyfikaty częściej niż kiedykolwiek.
Co oznacza kłódka, a czego nie
Kłódka mówi: „połączenie z tą domeną jest szyfrowane i to naprawdę ta domena”. Nie mówi natomiast, że strona jest uczciwa. Fałszywy sklep czy strona wyłudzająca dane logowania do banku też mogą mieć ważny certyfikat, bo darmowy certyfikat dostanie każdy, kto kontroluje domenę. Dlatego zamiast szukać kłódki, sprawdzaj przede wszystkim adres strony: czy to na pewno domena banku, a nie podobnie wyglądająca nazwa.
Właśnie z tego powodu Chrome od wersji 117 (2023 r.) zamiast kłódki pokazuje neutralną ikonę ustawień - kłódka zbyt często była odczytywana jako „ta strona jest bezpieczna”. Brak ostrzeżenia nadal oznacza szyfrowane połączenie z tą domeną.
SSL czy TLS?
SSL to nazwa starego protokołu, który dawno został wycofany ze względów bezpieczeństwa. Dziś połączenia szyfruje jego następca, TLS (najczęściej w wersjach 1.2 i 1.3). Nazwa „certyfikat SSL” przetrwała z przyzwyczajenia i oznacza po prostu certyfikat używany przez TLS.
Rodzaje certyfikatów
- DV (Domain Validation) - potwierdza tylko kontrolę nad domeną. Najpopularniejszy, często darmowy (np. Let's Encrypt).
- OV (Organization Validation) i EV (Extended Validation) - urząd certyfikacji sprawdza też firmę. Szyfrowanie jest takie samo jak w DV; różnica dotyczy weryfikacji właściciela.
- Na jedną domenę, na wiele domen lub typu wildcard (
*.example.pl, obejmuje wszystkie subdomeny jednego poziomu).
Darmowy certyfikat DV szyfruje połączenie tak samo dobrze jak płatny.
Dlaczego certyfikaty są ważne coraz krócej
Ograniczona ważność to celowy element bezpieczeństwa. Wymusza regularne potwierdzanie, że domena wciąż należy do tego samego właściciela, i ogranicza skutki wycieku klucza. Przeglądarki i urzędy certyfikacji zrzeszone w CA/Browser Forum zdecydowały w 2025 r. (głosowanie SC-081), że ten okres będzie się stopniowo skracał:
| Okres | Maksymalna ważność certyfikatu |
|---|---|
| do 14 marca 2026 | 398 dni (ok. 13 miesięcy) |
| od 15 marca 2026 | 200 dni |
| od 15 marca 2027 | 100 dni |
| od 15 marca 2029 | 47 dni |
Dla właścicieli stron oznacza to jedno: ręczne odnawianie raz w roku przestaje być możliwe.
Jak nie dać się zaskoczyć wygaśnięciem
Gdy certyfikat wygaśnie, przeglądarka pokaże odwiedzającym pełnoekranowe ostrzeżenie. Większość osób w tym momencie zamyka stronę.
- Automatyzuj odnowienia. Większość hostingów robi to sama dla certyfikatów Let's Encrypt. Na własnym serwerze użyj klienta ACME (np. Certbot), który odnawia certyfikat automatycznie.
- Monitoruj, zamiast polegać na e-mailach. Let's Encrypt od 4 czerwca 2025 r. nie wysyła już przypomnień o wygasaniu certyfikatów. Sprawdzaj datę ważności regularnie, np. w naszym teście certyfikatu SSL/TLS.
- Pamiętaj o wszystkich miejscach, gdzie jest certyfikat: strona, subdomeny, serwer poczty, panel administracyjny, urządzenia sieciowe.
Najczęstsze błędy certyfikatu i ich przyczyny
| Komunikat (Chrome) | Co oznacza | Częsta przyczyna |
|---|---|---|
NET::ERR_CERT_DATE_INVALID | Certyfikat wygasł albo jeszcze nie obowiązuje | Brak odnowienia; u użytkownika czasem zła data w komputerze |
NET::ERR_CERT_COMMON_NAME_INVALID | Certyfikat wystawiono dla innej nazwy | Certyfikat bez www lub bez subdomeny, z której wchodzisz |
NET::ERR_CERT_AUTHORITY_INVALID | Przeglądarka nie ufa wystawcy | Certyfikat samopodpisany albo brak certyfikatu pośredniego na serwerze |
| Brak kłódki mimo https | Strona ładuje część elementów przez http | Obrazki lub skrypty z adresów http:// (tzw. mixed content) |
Jeśli widzisz taki błąd jako użytkownik na stronie banku, sklepu lub poczty, nie klikaj „Przejdź dalej”. Sprawdź datę w komputerze i spróbuj później; błąd certyfikatu może też oznaczać próbę przechwycenia połączenia, np. w publicznym Wi-Fi.
Jak sprawdzić certyfikat strony
- W przeglądarce: kliknij ikonę obok adresu strony i wybierz informacje o połączeniu lub certyfikacie. Zobaczysz wystawcę, domeny i daty ważności.
- Online: nasz tester certyfikatu SSL/TLS pokazuje datę wygaśnięcia, wystawcę, obsługiwane protokoły i domeny objęte certyfikatem, także dla domen, których nie otwierasz w przeglądarce.
Certyfikat to nie wszystko
Sam certyfikat szyfruje połączenie, ale o bezpieczeństwie strony decyduje też konfiguracja serwera. Warto sprawdzić nagłówki bezpieczeństwa (np. HSTS wymusza HTTPS) i wystawić stronie ocenę od A do F.
Najczęstsze pytania
Czy darmowy certyfikat jest gorszy od płatnego?
Pod względem szyfrowania nie. Płatne certyfikaty OV i EV dodają weryfikację firmy, czasem gwarancję finansową i wsparcie, ale przeglądarki wyświetlają je dziś podobnie jak DV.
Czy strona bez kłódki jest niebezpieczna?
Połączenie nie jest szyfrowane, więc nie wpisuj na niej haseł ani danych płatności. Samo przeglądanie treści jest zwykle bezpieczne.
Mój certyfikat jest ważny, a przeglądarka i tak pokazuje błąd. Dlaczego?
Najczęściej brakuje certyfikatu pośredniego na serwerze albo certyfikat nie obejmuje wersji z www. Nasz test certyfikatu SSL pokaże, dla jakich domen certyfikat został wystawiony.