Blog · 6 listopada 2026 · 8 min czytania

HTTPS to nie wszystko: 7 rzeczy, które psują się mimo kłódki

„Mamy SSL, jest kłódka, temat zamknięty”. Tak brzmi najczęstsza odpowiedź właściciela firmowej strony na pytanie o bezpieczeństwo. Kłódka mówi tylko tyle, że ta jedna strona została załadowana szyfrowanym połączeniem z certyfikatem, któremu przeglądarka ufa. Nie mówi nic o tym, czy wersja http:// nadal wisi w sieci, czy certyfikat wygasa w przyszłym tygodniu, czy klient wpisujący adres bez „www” trafi tam, gdzie trzeba. Oto siedem rzeczy, które regularnie znajdujemy na stronach „z kłódką”.

Co właściwie oznacza kłódka

Certyfikat TLS (potocznie „SSL”) robi dwie rzeczy: szyfruje dane między przeglądarką a serwerem i potwierdza, że serwer faktycznie odpowiada za domenę w pasku adresu. Tyle. Nie sprawdza, czy strona jest wolna od złośliwego kodu, czy formularz wysyła dane we właściwe miejsce, ani czy pozostałe adresy Twojej witryny też są chronione. Dlatego poniższe problemy są tak częste: każdy z nich współistnieje z poprawnie wyświetlaną kłódką.

Siedem problemów, które kłódka ukrywa

1. Certyfikat, który zaraz wygaśnie

To najbardziej „widowiskowa” awaria z całej listy, bo nie dzieje się stopniowo. Do północy strona działa, po północy każdy klient widzi pełnoekranowe ostrzeżenie, które większość ludzi zamyka bez czytania. Przyczyny są prozaiczne: ktoś opłacił certyfikat roczny i zmienił pracę, automat Let's Encrypt przestał działać po zmianie DNS albo przeniesieniu hostingu, karta do odnowienia wygasła.

Warto wiedzieć, że czasy certyfikatów na rok czy dwa się kończą. Zgodnie z decyzją CA/Browser Forum z 2025 r. maksymalny okres ważności publicznych certyfikatów jest skracany etapami: do 200 dni od marca 2026 r., 100 dni od marca 2027 r. i docelowo 47 dni od marca 2029 r. To oznacza, że ręczne odnawianie przestaje być realistyczne – automat (ACME) staje się jedynym rozsądnym rozwiązaniem, a jego awaria będzie się ujawniać częściej. Jeśli hosting nie oferuje automatycznego odnawiania, to argument, żeby zmienić hosting albo postawić przed stroną Cloudflare.

2 i 3. Przekierowanie z http i HSTS

Instalacja certyfikatu nie wyłącza wersji nieszyfrowanej. Serwer nadal odpowiada na porcie 80, a przeglądarka, gdy użytkownik wpisze sam adres bez „https://”, próbuje najpierw http. Jeśli nic jej nie przekieruje, zostaje na nieszyfrowanej stronie. Co gorsza, przeglądarka pamięta to na przyszłość i podpowiada ten adres w pasku.

Przekierowanie to jedna reguła. Trzy najczęstsze środowiska:

# Apache / większość hostingów współdzielonych (.htaccess)
RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

# nginx – osobny blok dla portu 80
server {
  listen 80;
  server_name twojadomena.pl www.twojadomena.pl;
  return 301 https://twojadomena.pl$request_uri;
}

# Cloudflare: SSL/TLS → Edge Certificates → „Always Use HTTPS”: On

HSTS to krok dalej: nagłówek, po którym przeglądarka już nigdy nie spróbuje http dla tej domeny, nawet za pierwszym razem po kliknięciu starego linku. Włącz go dopiero, gdy cała witryna (łącznie z subdomenami, jeśli używasz includeSubDomains) działa po HTTPS – wycofanie HSTS trwa tyle, ile ustawisz w max-age.

4 i 5. Dwie wersje domeny

Domena z „www” i bez niej to dla przeglądarki i Google dwa różne adresy. Powinny prowadzić w jedno miejsce, ale to trzeba ustawić, i to na dwóch poziomach. Po pierwsze certyfikat musi obejmować obie nazwy; certyfikat wystawiony tylko na domena.pl daje czerwone ostrzeżenie na www.domena.pl, czego właściciel zwykle nie widzi, bo sam wchodzi z zakładki. Po drugie jedna wersja powinna przekierowywać na drugą kodem 301, a wybrana wersja powinna być ta sama w tagu canonical, w mapie witryny i w Search Console. Która lepsza? Nie ma znaczenia. Ma znaczenie konsekwencja.

Sprawdzisz to w minutę: wpisz w przeglądarce wszystkie cztery kombinacje (http/https × www/bez www) i zobacz, czy każda kończy w tym samym miejscu, bez ostrzeżeń.

6. Mixed content, czyli szyfrowana strona z nieszyfrowanymi dodatkami

Strona ładuje się po HTTPS, ale w jej kodzie zostały adresy zaczynające się od http://: zdjęcia wklejone lata temu, czcionka z zewnętrznego serwera, skrypt czatu. Przeglądarka reaguje różnie zależnie od typu: obrazy pokaże, ale odbierze kłódkę; skrypty, style i ramki zablokuje w ogóle. Efekt: „po migracji na SSL zniknął suwak ze zdjęciami” albo „przestał działać formularz”.

W WordPressie przyczyną jest prawie zawsze baza danych, w której adresy obrazów zostały zapisane z http. Naprawa to podmiana w całej bazie, ale koniecznie narzędziem, które rozumie zserializowane dane (wtyczka Better Search Replace, polecenie wp search-replace 'http://domena.pl' 'https://domena.pl'), nie ręczny eksport SQL i „zamień wszystko” w edytorze. Jeśli zewnętrzny zasób nie ma wersji https, trzeba go zastąpić. Doraźnie pomaga nagłówek Content-Security-Policy: upgrade-insecure-requests, który każe przeglądarce próbować https dla wszystkiego, ale to plaster, nie leczenie.

7. Łańcuchy przekierowań

Pojedyncze przekierowanie jest niewidoczne. Problemem są łańcuchy, które powstają warstwami: hosting dokleja http→https, wtyczka SEO dokleja www→bez www, strona dokleja ukośnik na końcu, a wersja językowa dokleja /pl/. Na komputerze przy światłowodzie to kilkadziesiąt milisekund. Na telefonie w 4G każdy skok to osobne połączenie i łatwo zbiera się pół sekundy pustego ekranu, zanim przeglądarka w ogóle zacznie pobierać stronę (więcej w tekście dlaczego strona jest wolna na telefonie). Zasada: z dowolnego starego adresu jedno przekierowanie prosto do adresu docelowego. Łańcuch zobaczysz w narzędziach deweloperskich (zakładka Sieć, pierwszy wiersz i kolejne z kodem 301/302) albo w wyniku naszego skanu.

Lista kontrolna na 5 minut

• Data ważności certyfikatu i czy odnawia się sam (zapytaj hosting wprost: „czy certyfikat odnawia się automatycznie?”).
• Cztery kombinacje adresu (http/https × www/bez) kończą w jednym miejscu, bez ostrzeżeń, jednym skokiem.
• Kłódka bez wykrzyknika na stronie głównej, w sklepie/formularzu i na podstronie z największą liczbą zdjęć.
• Nagłówek HSTS obecny (po upewnieniu się, że wszystko jest po HTTPS).
• Adres w canonical, w mapie witryny i w Search Console to ten sam wariant.