Proč potřebujete SSL certifikát

Certifikát dnes stojí nula korun a nasadí se za odpoledne. Přesto pořád narážím na weby, u kterých prohlížeč zobrazí varování dřív, než návštěvník stihne přečíst první větu.

Co přesně uvidí člověk, který přijde na web bez HTTPS

Chrome, Edge i Safari označují nezabezpečená spojení v adresním řádku a přímo u formulářů. Když někdo klikne do políčka pro telefon na stránce bez certifikátu, vyskočí varování Nezabezpečeno. To je poslední věc, kterou chcete zákazníkovi ukázat v okamžiku, kdy se rozhoduje poslat vám poptávku.

U stránek s platbou jde prohlížeč ještě dál a zobrazí celoobrazovkovou červenou stránku s tlačítkem Zpět do bezpečí. Odsud se vrátí zlomek lidí. Nezáleží na tom, že váš web žádné citlivé údaje nesbírá. Návštěvník vidí varování a vyhodnotí si firmu jako nedbalou dřív, než si přečte nabídku.

Reakce je rychlejší, než se čeká. Lidé nečtou technický text, čtou barvu a jedno slovo. Na klientském webu se po nasazení certifikátu zvedl počet odeslaných formulářů o pětinu, aniž bychom změnili jediné písmeno v textu stránky nebo cokoli v jejím rozvržení.

Co SSL řeší a co si o něm lidé myslí mylně

Certifikát dělá dvě věci. Šifruje přenos mezi prohlížečem a serverem, takže nikdo na cestě nepřečte, co člověk vyplnil. A potvrzuje, že doména patří tomu, kdo to tvrdí. Nedělá z webu bezpečný web. Nechrání před slabým heslem do administrace, před neaktualizovaným systémem ani před podvodným obsahem.

Proto zámek v adresním řádku neznamená, že je stránka důvěryhodná. Podvodné weby si certifikát pořídí stejně snadno jako vy, protože je zdarma. Zámek říká jen to, že spojení nikdo neodposlouchává. Pro zákazníka je to ale minimální podmínka, pod kterou dál nejde a hledá jinde.

• Šifruje data z formulářů, přihlášení a plateb
• Ověřuje, že doména patří provozovateli webu
• Umožňuje protokoly HTTP/2 a HTTP/3, tedy i rychlejší načítání
• Nechrání administraci, slabá hesla ani neaktualizované šablony
• Neříká nic o tom, jestli je obsah webu poctivý

Bez HTTPS přijdete o pozice i o data v analytice

Google potvrdil HTTPS jako faktor hodnocení už v roce 2014. Váha je malá, ale u vyrovnaných výsledků rozhoduje. Podstatnější je, že bez certifikátu často neproběhne správné přesměrování, takže vám běží dvě verze webu současně a vyhledávač neví, kterou indexovat. Sílu odkazů si pak rozdělí mezi obě.

Druhá ztráta je v datech. Provoz z bezpečné stránky na nezabezpečenou ztratí informaci o zdroji, takže vám v analytice přibude balík návštěv pod hlavičkou přímý přístup. Pak nevíte, jestli lidé přišli z Facebooku, z e-mailu nebo z vyhledávače, a rozhodujete se poslepu při každé investici do reklamy.

Bez HTTPS také nefunguje část moderních funkcí prohlížeče. Geolokace, notifikace, přístup ke kameře, offline režim, žádost o platbu přes Apple Pay. Všechno vyžaduje zabezpečené spojení. Pokud plánujete e-shop nebo rezervační systém, není to volba, ale podmínka spuštění.

Kolik certifikát stojí a kdy má smysl platit

Základní certifikát typu Let's Encrypt je zdarma, obnovuje se automaticky po devadesáti dnech a u většiny hostingů se zapíná jedním přepínačem. Pro běžný web, e-shop i rezervační systém plně stačí. Prohlížeč mezi ním a placeným certifikátem nedělá žádný viditelný rozdíl, zámek vypadá úplně stejně.

Placený certifikát má smysl ve dvou situacích. Když potřebujete pokrýt neomezený počet subdomén jednou položkou, nebo když vyžadujete záruku vydavatele kvůli smluvnímu či finančnímu provozu. Certifikát s ověřením organizace stojí nižší jednotky tisíc korun ročně a jeho vydání trvá dny, ne minuty, protože se ověřují dokumenty.

Nasazení krok za krokem

Postup je u devadesáti procent hostingů stejný. V administraci najdete položku SSL, zapnete Let's Encrypt, počkáte pár minut na vydání a pak nastavíte trvalé přesměrování z nešifrované verze. Bez přesměrování máte web dostupný na dvou adresách a to je pro vyhledávač horší než nemít certifikát vůbec.

Po nasazení projděte obsah. Obrázky, skripty a odkazy zapsané natvrdo se starým protokolem způsobí takzvaný smíšený obsah a prohlížeč zámek nezobrazí. Hromadná náhrada v databázi to vyřeší za minutu. Nakonec přidejte novou verzi do Search Console jako samostatnou vlastnost, jinak přijdete o historii dat.

• Zapněte Let's Encrypt v administraci hostingu
• Nastavte trvalé přesměrování 301 na verzi s HTTPS
• Přepište natvrdo zadané odkazy na obrázky a skripty
• Zkontrolujte web nástrojem na smíšený obsah
• Přidejte novou vlastnost do Search Console a nahrajte mapu webu
• Ověřte, že automatická obnova certifikátu opravdu běží

Chyby po přechodu, které stojí návštěvnost

Nejčastější chyba je zapomenuté přesměrování u jedné varianty domény. Verze s předponou www má certifikát, verze bez ní ne, a polovina návštěvníků vidí varování. Druhá chyba je vypršelý certifikát u domény, kterou spravuje někdo jiný než hosting, typicky po předchozím dodavateli, na kterého už nemáte kontakt.

Třetí problém je pokles návštěvnosti první dva až tři týdny. To je normální, vyhledávač musí přeindexovat všechny adresy. Pokud pokles trvá déle než měsíc, máte někde chybu v přesměrování nebo jste zapomněli na kanonické odkazy. U klientů to hlídám čtrnáct dní po přechodu a pak ještě jednou za měsíc.

• Chybějící přesměrování u varianty s www a bez www
• Smíšený obsah kvůli natvrdo zadaným odkazům na obrázky
• Kanonické odkazy, které pořád ukazují na starou verzi
• Vypršelý certifikát bez nastavené automatické obnovy
• Zapomenutá aktualizace adresy v Search Console a v analytice
• Odkazy v e-mailových kampaních vedoucí na starou verzi

Časté otázky

Stačí opravdu certifikát zdarma?

Pro naprostou většinu webů ano. Let's Encrypt vydává certifikáty s ověřením domény a prohlížeč je bere stejně jako placené. Rozdíl je v délce platnosti a v podpoře. Placený řešte, když potřebujete pokrýt desítky subdomén jednou položkou nebo když vám to ukládá smlouva s obchodním partnerem.

Co se stane, když certifikát vyprší?

Prohlížeč zobrazí celoobrazovkové varování a většina lidí odejde. Web technicky běží, ale je prakticky nedostupný. U Let's Encrypt se obnova řeší automaticky každých šedesát dní, u placených certifikátů si termín musíte hlídat sami. Nastavte si připomínku měsíc dopředu, ať to nemusíte řešit v pátek večer.

Ovlivní přechod na HTTPS moje pozice ve vyhledávání?

Krátkodobě ano, obvykle mírný pokles na dva až tři týdny, než se přeindexují adresy. Dlouhodobě je dopad neutrální až mírně pozitivní. Podmínkou je správné trvalé přesměrování a aktualizovaná mapa webu. Bez přesměrování ztratíte odkazovou sílu a pokles vám už zůstane natrvalo.