HTTPS to bezpieczna wersja protokołu HTTP, w której dane między przeglądarką a serwerem są szyfrowane. Strona działa przez HTTPS, gdy ma zainstalowany ważny certyfikat SSL/TLS, a jej adres zaczyna się od https://.
Protokół HTTPS (Hypertext Transfer Protocol Secure) chroni dane, które przesyłasz na stronę: hasła, dane formularzy, numery kart. Bez szyfrowania ktoś w tej samej sieci, np. w publicznym Wi-Fi, mógłby je odczytać albo podmienić treść strony. Do działania HTTPS potrzebny jest certyfikat SSL, który dziś wiele firm hostingowych daje bezpłatnie.
Przeglądarki wyraźnie oznaczają strony bez HTTPS. Chrome od 2018 roku pokazuje przy takich adresach komunikat „Niezabezpieczona”, co zniechęca do wpisania danych w formularzu.
HTTPS jako sygnał rankingowy
Google ogłosił w 2014 roku, że HTTPS jest sygnałem rankingowym. To sygnał lekki: sam certyfikat nie wyprzedzi lepszej treści. HTTPS należy też do elementów, które Google opisuje jako część dobrego doświadczenia na stronie. W praktyce dziś to standard, a brak HTTPS jest problemem przede wszystkim dla zaufania użytkowników i konwersji.
Strona dostępna jednocześnie pod http i https bez przekierowania rozprasza sygnały.
Jedno zastrzeżenie: kłódka przy adresie oznacza szyfrowane połączenie, a nie bezpieczną stronę. HTTPS nie chroni przed włamaniem przez nieaktualną wtyczkę ani przed podszywaniem się pod Twoją firmę. Certyfikat to podstawa, ale aktualizacje systemu, silne hasła i kopie zapasowe nadal są potrzebne.
Migracja z HTTP na HTTPS na przykładzie
Gabinet fizjoterapii ma od lat stronę pod http://. Hosting włącza bezpłatny certyfikat, ale strona działa teraz pod obydwoma adresami, a Google wciąż pokazuje wersję http. Gabinet ustawia przekierowanie 301 z każdego adresu http na odpowiednik https, poprawia linki wewnętrzne i adresy obrazów, aktualizuje mapę witryny i canonicale. Po kilku tygodniach w wynikach pojawiają się już tylko adresy https, a pozycje zostają na podobnym poziomie.
Jak sprawdzić i wdrożyć HTTPS na swojej stronie
- Wpisz adres z http:// w przeglądarce. Powinien od razu przekierować na https:// jednym przekierowaniem 301, bez łańcucha kilku przekierowań.
- Kliknij ikonę obok adresu i sprawdź ważność certyfikatu oraz to, czy obejmuje wersję z www i bez www.
- Otwórz narzędzia deweloperskie przeglądarki (konsola) i poszukaj ostrzeżeń o mieszanej treści (mixed content), czyli obrazach i skryptach ładowanych przez http.
- Zaktualizuj canonicale, mapę witryny i linki wewnętrzne, żeby wskazywały wersje https.
- W Google Search Console używaj usługi typu Domena, która obejmuje wszystkie warianty adresu, i obserwuj raport Strony.
Najczęstsze błędy
- Włączenie certyfikatu bez przekierowania, przez co strona działa pod dwoma adresami.
- Przekierowanie wszystkich adresów http na stronę główną zamiast na odpowiadające im podstrony.
- Mieszana treść: obrazy i skrypty wciąż ładowane przez http.
- Wygasły certyfikat, przez który przeglądarka pokazuje ostrzeżenie na całą stronę.
- Brak zmian w narzędziach zewnętrznych: w GA4, w wizytówce Google i w profilach w mediach społecznościowych wciąż widnieje stary adres.
Masz stronę na http albo po migracji widzisz w Google stare adresy? Umów konsultację albo zamów audyt SEO, w którym sprawdzimy przekierowania, certyfikat i mieszaną treść.