Strona niezabez­pieczona: co to znaczy i jak to naprawić

Strona niezabezpieczona: co znaczy napis przy adresie

Chrome pisze „Niezabezpieczona” przy adresie strony, która nie korzysta z prywatnego połączenia. Według pomocy Chrome informacje wysyłane i odbierane na takiej stronie, na przykład z formularza kontaktowego, ktoś inny może zobaczyć lub zmienić.

Prywatne połączenie to https i strona potrzebuje do niego ważnego certyfikatu SSL wystawionego na jej adres. Co zobaczy klient, zależy od przyczyny:

• Strona działa tylko przez http: otwiera się, a przy adresie widać „Niezabezpieczona”.
• Certyfikat wygasł albo jest wystawiony na inny adres: zanim strona się otworzy, Chrome pokazuje na całym ekranie ostrzeżenie „Połączenie nie jest prywatne”. Żeby wejść, klient musi rozwinąć szczegóły i kliknąć „Otwórz stronę … (niebezpieczną)”.
• Strona ma https, ale część plików ładuje przez http: przy adresie może pojawić się ostrzeżenie, a zdjęcia, menu albo formularz mogą nie działać.

Dlaczego to pilniejsze jesienią 2026

Google zapowiedział w 2025 roku, że od Chrome 154 ustawienie „Zawsze używaj bezpiecznych połączeń” będzie domyślnie włączone. Chrome ma wtedy pytać o zgodę przed wejściem na publiczną stronę bez https, na której ktoś dawno albo nigdy nie był. Takie ostrzeżenie zobaczą więc przede wszystkim nowi klienci.

Jak sprawdzić certyfikat SSL strony w przeglądarce

1. Wpisz w Chrome adres z https:// na początku, na przykład https://nazwafirmy.pl, i kliknij ikonę po lewej stronie adresu.
2. Jeśli widzisz „Połączenie jest bezpieczne”, kliknij ten napis, a potem „Certyfikat jest ważny”.
3. W oknie certyfikatu sprawdź, na jaki adres go wystawiono („Wystawiony dla”), kto go wystawił („Wystawiony przez”, na przykład Let's Encrypt) i do kiedy jest ważny („Wygasa dnia”).
4. Powtórz to dla adresu z www i bez www. Oba powinny otwierać się bez ostrzeżenia.

Gdy ostrzeżenie widać tylko na jednym komputerze, sprawdź w nim datę i godzinę. Przy złym zegarze Chrome uznaje dobry certyfikat za nieważny.

Dlaczego moja strona jest niezabezpieczona: trzy przyczyny

Strona nie ma certyfikatu SSL

Jeśli adres z http:// działa, a z https:// się nie otwiera albo od razu kończy się ostrzeżeniem, certyfikatu nie ma albo nikt go nie włączył dla tej domeny. Zdarza się to na przykład po przeniesieniu strony na inny hosting.

Certyfikat SSL wygasł albo jest wystawiony na inny adres

Pod ostrzeżeniem „Połączenie nie jest prywatne” Chrome podaje kod błędu. NET::ERR_CERT_DATE_INVALID oznacza, że certyfikat wygasł. NET::ERR_CERT_COMMON_NAME_INVALID oznacza, że wystawiono go na inny adres, na przykład na nazwafirmy.pl, a klient wszedł na www.nazwafirmy.pl.

Treść mieszana, czyli zdjęcia i skrypty przez http

Gdy certyfikat jest ważny, a przeglądarka dalej ostrzega, winna jest zwykle treść mieszana (ang. mixed content): strona ma https, ale zdjęcia albo skrypty ładuje przez http. Według web.dev większość przeglądarek zaznacza to przy adresie. Chrome próbuje pobrać takie zdjęcia przez https, a gdy się nie da, nie wczytuje ich wcale. Skrypty i style z http przeglądarki zwykle blokują, więc może przestać działać menu albo formularz.

Dlaczego darmowy certyfikat SSL wygasł

Darmowe certyfikaty na hostingach wystawia często Let's Encrypt. Według jego FAQ taki certyfikat jest ważny 90 dni, a odnawiać go warto co 60 dni. Robić to powinien sam hosting. Przy odnowieniu Let's Encrypt znowu sprawdza domenę, więc jeśli po zmianie DNS prowadzi ona na inny serwer, odnowienie się nie uda.

Kiedyś Let's Encrypt ostrzegał przed wygaśnięciem mailem. 4 czerwca 2025 roku wyłączył te powiadomienia, więc o nieudanym odnowieniu już Cię nie uprzedzi.

Certyfikaty są też coraz krótsze. Według wymagań CA/Browser Forum, które zrzesza wystawców certyfikatów i twórców przeglądarek, publiczny certyfikat wystawiony od 15 marca 2026 roku może być ważny najwyżej 200 dni, od 15 marca 2027 roku 100 dni, a od 15 marca 2029 roku 47 dni. Dotyczy to też certyfikatów płatnych. Let's Encrypt zapowiada skrócenie swoich domyślnych certyfikatów do 64 dni w lutym 2027 roku i do 45 dni w lutym 2028 roku.

Jak włączyć darmowy certyfikat SSL na hostingu

Na wielu hostingach darmowy certyfikat włączasz w panelu. Panele się różnią, ale kroki są podobne:

1. Zaloguj się do panelu hostingu i znajdź dział z certyfikatami SSL, zwykle przy ustawieniach domeny.
2. Wybierz darmowy certyfikat dla domeny, z www i bez www.
3. Poczekaj, aż panel pokaże certyfikat jako aktywny, i sprawdź, czy automatyczne odnawianie jest włączone.
4. Sprawdź certyfikat w przeglądarce.

Jeśli certyfikatu w panelu nie ma, napisz do pomocy technicznej hostingu. Jeśli nie wiesz, kto ma dostęp do panelu, zacznij od ustalenia, na kogo są zapisane domena i hosting.

Jak włączyć SSL w WordPressie bez wtyczki

Sam certyfikat nie wystarczy, bo WordPress buduje linki z adresu zapisanego w ustawieniach. Od wersji 5.7 przełączysz go jednym przyciskiem:

1. W panelu WordPressa otwórz Narzędzia → Stan witryny, zakładka „Status”.
2. Rozwiń wpis „Twoja witryna nie używa połączenia HTTPS”. Jeśli WordPress widzi działający certyfikat, pod opisem jest przycisk „Zaktualizuj swoją witrynę, aby korzystała z HTTPS”. Kliknij go.
3. WordPress zmieni na https oba adresy w Ustawienia → Ogólne: „Adres WordPressa (URL)” i „Adres witryny (URL)”.
4. Otwórz stronę w oknie prywatnym i przejdź po kilku podstronach.

Jeśli zamiast przycisku jest rada „Porozmawiaj ze swoim hostingiem o obsłudze HTTPS w witrynie”, WordPress nie widzi działającego https, więc wróć do certyfikatu na hostingu. Według zapowiedzi zespołu WordPressa po przełączeniu WordPress sam zamienia adresy własnej strony z http na https w treści wpisów i stron, zajawkach, widżetach tekstowych i dodatkowym CSS. Robi to przy wyświetlaniu, bez zmian w bazie danych, więc na prostej stronie wtyczka do SSL często nie jest potrzebna.

Pola adresów są szare: WP_HOME i WP_SITEURL

Jeśli pól adresów w Ustawienia → Ogólne nie da się zmienić, ktoś wpisał je na stałe w pliku wp-config.php, a wtedy według dokumentacji WordPressa zmienisz je tylko w tym pliku. Stan witryny pokaże też komunikat, że adres WordPressa jest kontrolowany przez stałą PHP. Zrób kopię pliku i w obu linijkach zmień tylko http na https, resztę adresu zostaw:

• define( 'WP_HOME', 'https://nazwafirmy.pl' );
• define( 'WP_SITEURL', 'https://nazwafirmy.pl' );

Adres ma zaczynać się od https:// i nie mieć ukośnika na końcu. Uważaj na literówki, bo błędny adres potrafi odciąć dostęp do panelu.

Certyfikat jest, a ostrzeżenie zostaje: jak znaleźć treść mieszaną

1. Otwórz w Chrome podstronę z ostrzeżeniem, naciśnij F12 (na Macu Cmd+Option+I) i odśwież stronę.
2. Przejdź na kartę „Problemy” albo „Konsola”. Chrome wypisuje tam pliki, które strona ładuje przez http.
3. Po adresie poznasz źródło: wp-content/uploads to zdjęcie z biblioteki mediów, wp-content/themes motyw, wp-content/plugins wtyczka, a obca domena to skrypt zewnętrzny.

Zdjęcie w jednym wpisie poprawisz sam w edytorze. Gdy adres siedzi w motywie albo wtyczce, zacznij od ich aktualizacji. Adresy z page buildera i ustawień motywu leżą zwykle w bazie danych. Dokumentacja WordPressa ostrzega, że zwykła zamiana tekstu w całej bazie potrafi uszkodzić dane, które motywy i widżety zapisują razem z długością adresu. Dlatego wykonawca robi kopię bazy i zamienia adresy poleceniem wp search-replace z WP-CLI, które takie dane obsługuje.

Przekierowanie z http na https i pętla przekierowań

Gdy strona działa przez https, ustaw stałe przekierowanie 301 z każdego adresu http na ten sam adres z https. Inaczej stare linki i zakładki prowadzą na wersję z ostrzeżeniem. Część paneli hostingu ma do tego przełącznik, a na serwerze Apache wykonawca dopisuje regułę w .htaccess. Ustaw przekierowanie w jednym miejscu.

Jeśli po zmianie Chrome pisze, że strona spowodowała zbyt wiele przekierowań (ERR_TOO_MANY_REDIRECTS), przekierowania się zapętliły. Typowe przyczyny:

• Dwa przekierowania, które sobie przeczą, na przykład hosting kieruje na adres z www, a WordPress na adres bez www.
• Cloudflare w trybie SSL „Flexible”. Według dokumentacji Cloudflare łączy się on wtedy z serwerem przez http, a serwer odsyła każde takie zapytanie na https. Pomaga tryb „Full” albo „Full (strict)”, o ile serwer ma własny certyfikat.
• Serwer za pośrednikiem, który obsługuje https. Według dokumentacji WordPressa bez dodatkowego ustawienia WordPress wpada wtedy w nieskończoną pętlę.

Co zrobić w Google Search Console po przejściu na https

Google traktuje zmianę adresu z http na https jak przeniesienie witryny. Stałe przekierowania 301 według Google nie powodują utraty PageRank, a przy średniej stronie wymiana starych adresów na nowe w wynikach trwa zwykle kilka tygodni albo dłużej.

• Usługa typu domena obejmuje adresy z http i https. Jeśli masz usługę z prefiksem URL zaczynającym się od http://, dodaj drugą, dla https://.
• Prześlij mapę witryny z adresami https. W WordPressie to zwykle twojadomena.pl/wp-sitemap.xml albo mapa z wtyczki SEO.
• Narzędzie do zmiany adresu nie jest tu potrzebne, służy do zmiany domeny. Przekierowania trzymaj co najmniej rok, jak radzi Google.

Jeśli po kilku tygodniach strony brakuje w wynikach, sprawdź, co zrobić, gdy strona nie wyświetla się w Google.

Kiedy oddać naprawę fachowcowi

Przestań naprawiać sam, gdy:

• Nie masz dostępu do panelu hostingu albo w panelu nie ma certyfikatu do włączenia.
• Certyfikat wygasł drugi raz, choć automatyczne odnawianie jest włączone.
• Pola adresów są szare, a nie masz dostępu do pliku wp-config.php.
• Po zmianie pojawiła się pętla przekierowań i nie możesz wejść do panelu.
• Treść mieszana pochodzi z motywu, page buildera albo z wielu wpisów naraz.
• Strona to sklep z bieżącymi zamówieniami.

Jak pilnować, żeby certyfikat znów nie wygasł

• Ustaw monitoring certyfikatu. W czerwcu 2025 roku Let's Encrypt polecał Red Sift Certificates Lite, wtedy darmowy do 250 certyfikatów.
• Po zmianie DNS albo hostingu sprawdź certyfikat tego samego dnia i jeszcze raz po około dwóch miesiącach, gdy przypada pierwsze odnowienie.
• W panelu hostingu ustaw e-mail do powiadomień na adres, który czytasz.

Najczęstsze pytania

Czy „strona niezabezpieczona” znaczy, że mam wirusa?

Sam ten napis o tym nie świadczy, bo dotyczy tylko połączenia. Według pomocy Chrome stronę, którą Bezpieczne przeglądanie Google uznało za niebezpieczną, na przykład z powodu złośliwego oprogramowania, poznasz po czerwonym ostrzeżeniu na cały ekran.

Czy darmowy certyfikat SSL wystarczy firmie?

Do strony firmowej tak. Let's Encrypt nie pobiera opłat, a przeglądarka pokazuje taki certyfikat tak samo jak płatny. Trzeba tylko pilnować, żeby hosting go odnawiał.

Jak to robimy w Kodarni

Komunikat „strona niezabezpieczona” i problemy z certyfikatem SSL to u nas zwykła naprawa strony WordPress. Zaczynamy od bezpłatnej diagnozy: wysyłasz adres strony, a my sprawdzamy certyfikat na hostingu, ustawienia WordPressa i adresy w treści. Cenę podajemy na piśmie, zanim zaczniemy pracę. Przed zmianami robimy kopię całej strony, potem przekierowujemy ją na https i sprawdzamy na komputerze i telefonie. Naprawa kosztuje od 199 zł netto, do tego 23% VAT.

W opiece nad stroną, od 99 zł netto miesięcznie, monitoring sprawdza, czy strona odpowiada i czy certyfikat SSL jest ważny, a my pilnujemy terminów odnowienia domeny i hostingu.

Naprawa strony WordPress: bezpłatna diagnoza, naprawa od 199 zł

Opieka nad stroną: monitoring certyfikatu SSL od 99 zł miesięcznie