Brak certyfikatu SSL na stronie – jak się objawia i jak niszczy zaufanie klientów

Otwierasz stronę i zamiast normalnego widoku dostajesz czerwone ostrzeżenie albo przekreśloną kłódkę obok adresu. Tak najczęściej wygląda pierwszy kontakt użytkownika ze stroną, która ma problem z certyfikatem SSL, i w mojej pracy to jeden z tych błędów, które widzę zaskakująco często, także na stronach firm działających od lat.

Certyfikat SSL to temat, o którym mało kto myśli, dopóki działa. Kiedy przestaje, staje się najbardziej widocznym elementem całej strony, bo przeglądarka stawia go między użytkownikiem a treścią, którą ten w ogóle chciał zobaczyć.

Co właściwie się dzieje, gdy certyfikat SSL przestaje działać

Certyfikat SSL (a właściwie TLS, bo tej nazwy technicznie powinniśmy dziś używać) odpowiada za dwie rzeczy: szyfruje połączenie między przeglądarką a serwerem i potwierdza, że strona, z którą się łączymy, rzeczywiście należy do domeny, za którą się podaje. Gdy certyfikat wygasa, jest źle skonfigurowany, nie obejmuje danej subdomeny albo w ogóle go nie ma, przeglądarka przestaje mieć podstawy, żeby to potwierdzić, i informuje o tym użytkownika wprost, zwykle w bardzo mocny sposób.

To nie jest drobna, dyskretna adnotacja gdzieś na dole strony. To komunikat, który wchodzi w drogę między klientem a Twoją ofertą.

Jak to wygląda oczami odwiedzającego

W zależności od tego, co dokładnie jest nie tak z certyfikatem, użytkownik zobaczy jeden z kilku wariantów i każdy z nich robi inne wrażenie.

Najłagodniejszy wariant to szara lub czerwona etykieta „Niezabezpieczona” tuż przed adresem strony w Chrome, czasem z przekreśloną kłódką. Wygląda dyskretnie, ale wystarczy, żeby część odwiedzających, szczególnie tych bardziej świadomych, zawahała się przed wypełnieniem jakiegokolwiek formularza.

Gorszy wariant pojawia się, gdy certyfikat jest przeterminowany, wystawiony dla innej domeny albo w ogóle nie został poprawnie zainstalowany. Wtedy zamiast strony użytkownik widzi całoekranowe ostrzeżenie: w Chrome komunikat typu „Twoje połączenie nie jest prywatne” z kodem błędu w stylu NET::ERR_CERT_DATE_INVALID albo NET::ERR_CERT_AUTHORITY_INVALID, w Firefoksie „Ostrzeżenie: potencjalne zagrożenie bezpieczeństwa”. Żeby w ogóle zobaczyć stronę, trzeba kliknąć w mało widoczną opcję „Zaawansowane” i świadomie zaakceptować ryzyko. Zdecydowana większość odwiedzających w tym momencie po prostu zamyka kartę.

Jest też wariant pośredni, który lubię nazywać ukrytym, czyli tzw. mixed content. Sama strona ma poprawny certyfikat, ale ładuje część zasobów (obrazki, skrypty, arkusze stylów) przez zwykłe http zamiast https. Wtedy przeglądarka nie blokuje całej strony, ale w pasku adresu pojawia się ostrzegawcza ikona, a w konsoli deweloperskiej robi się mnóstwo błędów. To wersja problemu, którą mniej osób zauważa na pierwszy rzut oka, ale wygląda dokładnie tak samo nieprofesjonalnie, gdy ktoś sprawdzi szczegóły.

Do tego dochodzą subtelniejsze sygnały: przeglądarki potrafią odmówić zapisania hasła w menedżerze haseł na niezabezpieczonej stronie, ostrzec przed wpisaniem danych karty płatniczej w formularzu, a niektóre aplikacje i wyszukiwarki po prostu nie wczytają podglądu strony w ogóle.

Dlaczego to tak mocno uderza w odbiór firmy

Tu nie chodzi tylko o estetykę paska adresu. Ostrzeżenie o braku certyfikatu trafia dokładnie w moment, w którym użytkownik ocenia, czy w ogóle może Ci zaufać.

W branżach, w których zaufanie jest walutą, czyli w gabinetach medycznych i stomatologicznych, kancelariach czy sklepach internetowych, ten efekt jest jeszcze mocniejszy. Ktoś, kto szuka lokalnej usługi i widzi czerwone ostrzeżenie bezpieczeństwa, bardzo często po prostu wraca do wyników wyszukiwania i wybiera kolejną pozycję na liście. Nie zostawia telefonu, nie pyta, dlaczego strona tak wygląda, po prostu odpada z lejka, zanim ten lejek w ogóle się zacznie. Pisałem szerzej o tym mechanizmie przy okazji budowania zaufania w sklepie internetowym: certyfikat SSL to jeden z tych elementów, które same z siebie zaufania nie budują, ale jego brak potrafi je zniszczyć błyskawicznie.

W sklepach internetowych efekt jest jeszcze bardziej mierzalny. Formularz płatności czy logowania na niezabezpieczonej stronie to gotowy przepis na wzrost liczby porzuconych koszyków, bo część klientów po prostu nie zaryzykuje podania numeru karty na stronie, którą przeglądarka właśnie nazwała niebezpieczną, szczególnie w kontekście dobrze skonfigurowanych płatności w sklepie, które i tak wymagają zaufania klienta. To jeden z tych błędów, które regularnie wymieniam wśród rzeczy niszczących konwersję, bo w przeciwieństwie do wolno działającego sklepu czy nieczytelnego przycisku, tu użytkownik dostaje jednoznaczny, mocny sygnał „coś tu jest nie tak” wprost od przeglądarki, a nie tylko własne wrażenie.

Wpływ na widoczność w wyszukiwarce

Brak certyfikatu SSL to również sygnał, który Google bierze pod uwagę w rankingu, choć to nie jedyny i nie najważniejszy powód, dla którego warto to naprawić. Ważniejsze w praktyce jest to, co dzieje się już po kliknięciu w wynik wyszukiwania: strona z ostrzeżeniem bezpieczeństwa ma wyraźnie wyższy współczynnik odrzuceń, a to Google obserwuje pośrednio, choćby przez to, jak użytkownicy wracają do wyników i szukają dalej. Krótko mówiąc, nawet jeśli sama pozycja w wynikach nie spadnie drastycznie z dnia na dzień, jakość ruchu i to, co się z nim dzieje po wejściu na stronę, spada bardzo wyraźnie.

Skąd się bierze brak ważnego certyfikatu

W praktyce najczęściej trafiam na trzy sytuacje. Pierwsza to zwyczajnie wygasły certyfikat, który powinien się odnowić automatycznie, ale coś w tym procesie zawiodło, na przykład zmiana serwera, zablokowany cron po stronie hostingu albo źle skonfigurowany panel. Druga to certyfikat, który obejmuje samą domenę, ale nie obejmuje wersji z „www” (albo odwrotnie), więc część odwiedzających trafia na wariant bez ochrony. Trzecia to sytuacja, w której strona w ogóle nie ma wdrożonego SSL, co dziś, przy darmowych certyfikatach typu Let’s Encrypt dostępnych w każdym sensownym hostingu, właściwie nie powinno się zdarzać.

To zresztą jeden z tych problemów, które lubię traktować jak każdą inną awarię strony, czyli metodycznie, krok po kroku, zamiast zgadywać. Pisałem o podobnym podejściu przy okazji najczęstszych przyczyn awarii strony internetowej: z certyfikatem SSL zasada jest identyczna, czyli najpierw sprawdzasz najbardziej prawdopodobną przyczynę, a dopiero potem kolejną.

Co zrobić, gdy zobaczysz taki komunikat na własnej stronie

Jeśli sam widzisz ostrzeżenie o braku bezpiecznego połączenia na swojej stronie, pierwsze co sprawdzam to data ważności certyfikatu w panelu hostingu lub przez zewnętrzne narzędzie do sprawdzania SSL. To zajmuje dosłownie minutę i od razu pokazuje, czy problem to wygasły certyfikat, zły zakres domen, czy coś głębszego po stronie serwera. Kolejny krok to wymuszenie przekierowania z http na https na poziomie serwera i sprawdzenie, czy wszystkie zasoby na stronie faktycznie ładują się przez https, bo sam ważny certyfikat nie wystarczy, jeśli w kodzie strony zostały twarde odnośniki do wersji http.

Jeżeli to wygląda na coś więcej niż zwykłe odnowienie certyfikatu w panelu, czyli np. certyfikat się odnawia, ale i tak znika po jakimś czasie, albo problem wraca cyklicznie, to zwykle znak, że warto zrobić pełny audyt strony, żeby znaleźć przyczynę, a nie tylko gasić objawy. W pilniejszych przypadkach, kiedy strona firmowa czy sklep tracą ruch z powodu ostrzeżenia bezpieczeństwa, zajmuję się też naprawą awarii strony od ręki, bo każdy dzień z takim komunikatem na stronie to realnie stracone zapytania i zamówienia.

Najczęściej zadawane pytania

Czy brak certyfikatu SSL to to samo, co zhakowana strona?

Nie, to dwa różne problemy, choć oba dają podobny efekt psychologiczny, czyli ostrzeżenie w przeglądarce. Zhakowana strona to zwykle inny komunikat, np. ostrzeżenie o złośliwym oprogramowaniu, pisałem o tym osobno przy okazji tego, jak odwirusować stronę WordPress. Certyfikat SSL dotyczy wyłącznie szyfrowania i weryfikacji tożsamości domeny, a nie tego, czy w kodzie strony jest złośliwy skrypt.

Czy darmowy certyfikat SSL, np. Let’s Encrypt, jest gorszy od płatnego?

Pod względem samego szyfrowania i tego, jak traktuje go przeglądarka, nie ma różnicy. Płatne certyfikaty rozszerzonej walidacji mają dodatkowe funkcje związane z weryfikacją firmy, ale dla zdecydowanej większości stron firmowych i sklepów darmowy certyfikat w zupełności wystarcza, o ile jest poprawnie utrzymywany i odnawiany.

Jak długo trwa naprawa braku SSL?

Jeśli problem dotyczy samego certyfikatu, czyli wygasł albo nie obejmuje właściwej domeny, naprawa to zwykle kwestia minut do godziny, zależnie od hostingu. Jeśli problem leży głębiej, np. w konfiguracji serwera albo w kodzie strony generującym linki http, może to potrwać dłużej, ale w praktyce to i tak sprawa jednego dnia roboczego, a nie tygodni.

Czy warto samemu regularnie sprawdzać SSL na stronie?

Zdecydowanie warto, zwłaszcza że certyfikaty mają ograniczoną ważność i odnawiają się automatycznie tylko wtedy, gdy cały ten proces działa bez zakłóceń. Krótkie, cykliczne sprawdzenie zajmuje chwilę, a oszczędza sytuacji, w której klienci przez kilka dni widzą ostrzeżenie, zanim ktokolwiek to zauważy.

Ostrzeżenie o braku bezpiecznego połączenia to jeden z tych błędów, których nie da się zignorować ani odłożyć na później, bo każdy dzień z takim komunikatem na stronie kosztuje realny ruch i zaufanie klientów. Jeśli widzisz coś podobnego na swojej stronie albo po prostu wolisz to sprawdzić, zanim zobaczą to Twoi klienci, napisz do mnie, sprawdzę to i naprawię.