Certyfikat SSL — DV, OV, EV czy wildcard? Który wybrać

Certyfikat SSL to dziś standard: bez niego przeglądarka oznaczy stronę jako „niezabezpieczoną”, a klient zawaha się przed wysłaniem formularza. Gdy jednak zaczynasz szukać, trafiasz na DV, OV, EV, wildcard i ceny od zera do całkiem wysokich kwot. Wyjaśniamy, czym się różnią, co z tego widzi Twój klient i dlaczego w większości firm darmowy certyfikat w zupełności wystarcza.

Co właściwie robi certyfikat SSL

Certyfikat SSL (precyzyjniej: TLS) robi dwie rzeczy. Po pierwsze szyfruje połączenie między przeglądarką a serwerem, więc nikt po drodze nie podejrzy hasła czy danych z formularza. Po drugie potwierdza tożsamość — że strona pod adresem przykladowa.pl rzeczywiście należy do właściciela tej domeny.

Dla firmy ma to także wymiar formalny. Jeśli strona ma formularz kontaktowy, zapis na newsletter albo panel klienta, przesyła dane osobowe. Szyfrowanie połączenia to jeden z podstawowych środków ich ochrony i jedno z pierwszych pytań, jakie zada klient lub audytor. Brak certyfikatu to dziś po prostu zaniedbanie.

Siła szyfrowania jest taka sama w certyfikacie darmowym i płatnym. Różnice dotyczą tego, jak dokładnie wystawca sprawdził, kim jesteś, oraz zakresu domen, które certyfikat obejmuje.

Rodzaje certyfikatów: DV, OV, EV i wildcard

Typ	Co jest sprawdzane	Dla kogo
DV (Domain Validation)	Tylko to, że kontrolujesz domenę	Większość stron firmowych, blogów, sklepów
OV (Organization Validation)	Domena oraz istnienie firmy (dane rejestrowe)	Gdy wymaga tego klient, przetarg lub regulacja
EV (Extended Validation)	Rozszerzona weryfikacja firmy i osoby zamawiającej	Instytucje z formalnym wymogiem EV
Wildcard (*.domena.pl)	Zależnie od typu (najczęściej DV)	Wiele subdomen pod jedną domeną

SSL wildcard to nie osobny poziom weryfikacji, tylko zakres: jeden certyfikat chroni wszystkie subdomeny pierwszego poziomu, np. sklep.przykladowa.pl, crm.przykladowa.pl i www.przykladowa.pl. Przydaje się, gdy subdomen jest dużo albo powstają dynamicznie. Przy kilku subdomenach równie dobrze sprawdzi się zwykły certyfikat obejmujący kilka nazw.

Co widzi Twój klient

Tu wiele osób jest zaskoczonych: klient w praktyce nie odróżni certyfikatu DV od EV. Kiedyś certyfikat EV wyświetlał w pasku adresu nazwę firmy, często na zielono. Przeglądarki zrezygnowały z tego wyróżnienia — Chrome przeniósł informację o EV z paska adresu do okna szczegółów strony (otwieranego kliknięciem ikony obok adresu) już w wersji 77 w 2019 roku, podobnie postąpiły inne przeglądarki. Zespół Chrome uzasadniał to badaniami, z których wynikało, że wyróżnienie nie wpływało na decyzje użytkowników.

Dla klienta liczy się więc jedno: czy strona otwiera się przez https bez ostrzeżeń. To zapewnia każdy poprawnie wystawiony i ważny certyfikat.

Darmowy Let’s Encrypt czy płatny certyfikat

Let’s Encrypt to organizacja non-profit, która wydaje darmowe certyfikaty DV. Większość polskich hostingów ma ją wbudowaną w panel: zaznaczasz opcję, a certyfikat wystawia się i odnawia sam.

• Ważność: standardowo 90 dni, z automatycznym odnowieniem przed wygaśnięciem.
• Wildcard: dostępny, ale wymaga potwierdzenia przez rekord DNS (tzw. wyzwanie DNS-01), więc najwygodniejszy jest u dostawców, których DNS da się obsłużyć automatycznie.
• Brak OV i EV: Let’s Encrypt wydaje wyłącznie certyfikaty DV.

Dla strony firmowej, bloga, sklepu czy systemu CRM w subdomenie to w zupełności wystarcza.

Kiedy płatny certyfikat ma sens? W kilku sytuacjach:

• Wymóg formalny — umowa z klientem, przetarg, bank lub regulacja branżowa wprost wymaga certyfikatu OV lub EV.
• Gwarancja lub ubezpieczenie wystawcy — płatne certyfikaty często mają polisę na wypadek błędu wystawcy. Dla większości firm to raczej argument marketingowy niż realna potrzeba, ale bywa wymagany w dokumentach.
• Środowiska, gdzie automatyczne odnawianie jest trudne, np. starsze urządzenia czy serwery bez obsługi automatyzacji. Uwaga: przy zmianach opisanych niżej ten argument słabnie.

Certyfikaty będą ważne coraz krócej

W kwietniu 2025 roku organizacja CA/Browser Forum, która ustala zasady dla wystawców certyfikatów i przeglądarek, przyjęła uchwałę SC-081. Wprowadza ona harmonogram skracania maksymalnej ważności publicznych certyfikatów TLS (stan na październik 2026):

• do 14 marca 2026 — maksymalnie 398 dni,
• od 15 marca 2026 — 200 dni (ten etap już obowiązuje),
• od 15 marca 2027 — 100 dni,
• od 15 marca 2029 — 47 dni.

Dotyczy to także certyfikatów płatnych. Wniosek jest prosty: automatyczne odnawianie certyfikatów przestaje być wygodą, a staje się koniecznością. Ręczne wgrywanie certyfikatu raz w roku odchodzi do historii — przy 47 dniach trzeba by to robić kilka razy w roku dla każdej domeny.

Jak sprawdzić certyfikat swojej strony

Nie musisz być informatykiem, żeby w minutę ocenić stan certyfikatu na firmowej stronie:

1. Kliknij ikonę obok adresu w przeglądarce i wybierz informację o połączeniu oraz certyfikacie. Zobaczysz, kto go wystawił, dla jakich nazw domen i do kiedy jest ważny.
2. Sprawdź oba warianty adresu — z www i bez www — oraz wszystkie subdomeny, których używa firma (sklep, CRM, poczta przez przeglądarkę).
3. Zajrzyj do panelu hostingu, czy przy domenie jest włączone automatyczne odnawianie certyfikatu. Jeśli certyfikat był wgrywany ręcznie, zapisz datę wygaśnięcia i zaplanuj zmianę na automat.
4. Wpisz adres z http zamiast https i sprawdź, czy strona sama przekierowuje na bezpieczną wersję.

Jeśli którykolwiek z tych punktów budzi wątpliwości, to sygnał, że certyfikat warto uporządkować, zanim klienci zobaczą ostrzeżenie.

Typowe problemy z certyfikatem SSL

• Mieszana zawartość (mixed content). Strona działa przez https, ale wczytuje obrazki lub skrypty przez http. Przeglądarka blokuje je lub pokazuje ostrzeżenie. Rozwiązanie: zmiana adresów w treści i ustawieniach strony na https.
• Certyfikat tylko dla wersji bez www (albo tylko z www). Klient wpisuje drugi wariant adresu i widzi błąd. Certyfikat powinien obejmować obie nazwy, a jedna wersja przekierowywać na drugą.
• Wygasły certyfikat. Najczęściej dlatego, że automatyczne odnawianie po cichu przestało działać — po zmianie DNS, przeniesieniu strony albo zmianie konfiguracji serwera.
• Przekierowanie z panelu blokujące katalog /.well-known/. To nasza lekcja z praktyki. Przy łączeniu kilku domen w jedną ustawiliśmy początkowo przekierowanie z panelu hostingu (DirectAdmin). Przekierowało ono wszystko, także katalog /.well-known/, przez który Let’s Encrypt sprawdza domenę. Efekt: certyfikat starej domeny nie mógł się odnowić. Dlatego przekierowania robimy w pliku .htaccess z wyjątkiem dla tego katalogu — szczegóły w tekście o przeniesieniu strony bez utraty pozycji.

# wyjątek w .htaccess — nie przekierowuj ścieżki używanej przez Let's Encrypt
RewriteCond %{REQUEST_URI} !^/.well-known/

Każdy z tych problemów łatwo wychwycić wcześnie, jeśli strona ma monitoring, który sprawdza także datę ważności certyfikatu. Opisaliśmy to w artykule o monitoringu strony i kopii zapasowej.

Najczęstsze pytania

Czy darmowy certyfikat SSL jest mniej bezpieczny niż płatny?

Nie. Szyfrowanie połączenia jest takie samo. Płatne certyfikaty OV i EV różnią się zakresem weryfikacji firmy, a nie siłą zabezpieczenia transmisji.

Czy certyfikat SSL wpływa na pozycję w Google?

Google traktuje https jako jeden z sygnałów, a przeglądarki ostrzegają przed stronami bez szyfrowania. Typ certyfikatu (DV, OV, EV) nie ma znaczenia dla pozycji.

Kiedy warto kupić SSL wildcard?

Gdy masz wiele subdomen lub często tworzysz nowe. Przy dwóch–trzech subdomenach wystarczy zwykły certyfikat obejmujący kilka nazw, także darmowy.

Co zrobić, gdy certyfikat wygasł?

Sprawdź w panelu hostingu, czy automatyczne odnawianie jest włączone i dlaczego się nie powiodło — najczęściej winne są zmiany DNS lub przekierowania. Po usunięciu przyczyny wystaw certyfikat ponownie i ustaw monitoring daty ważności.

Pilnowanie certyfikatów, aktualizacji i kopii wszystkich firmowych stron może przejąć za Ciebie nasz serwis IT i bezpieczeństwa stron.