Strona niezabezpieczona – jak to zmienić?

Komunikat „strona niezabezpieczona” oznacza najczęściej brak aktywnego certyfikatu SSL i połączenia HTTPS. Jako użytkownik nie usuniesz tego ostrzeżenia – może to zrobić właściciel strony lub administrator serwera. Jeśli prowadzisz witrynę, musisz zainstalować certyfikat, wymusić HTTPS i usunąć mieszaną zawartość.

Kto może usunąć błąd?

Certyfikat SSL szyfruje komunikację między przeglądarką a serwerem. Dzięki temu dane wpisywane w formularzach nie są przesyłane otwartym tekstem. Samo HTTPS nie potwierdza jednak, że witryna jest uczciwa. Informuje przede wszystkim o szyfrowaniu połączenia i poprawności certyfikatu.

Zakres działania zależy od tego, czy jesteś odwiedzającym, czy administratorem strony:

Rola	Możliwości	Działanie
Użytkownik	Nie ma dostępu do serwera ani konfiguracji domeny.	Nie podawaj haseł, danych karty ani innych poufnych informacji. Zgłoś problem właścicielowi witryny.
Administrator strony	Może zmienić ustawienia hostingu, serwera i systemu CMS.	Zainstaluj SSL, ustaw przekierowanie 301 na HTTPS i popraw adresy zasobów.

Jak zainstalować SSL i przełączyć stronę na HTTPS?

Dokładne nazwy opcji zależą od hostingu, ale kolejność prac zwykle wygląda podobnie. Przed rozpoczęciem sprawdź, czy masz dostęp do panelu hostingowego, plików strony i – jeśli korzystasz z CMS – do jego panelu administracyjnego.

Przygotuj także kopię zapasową plików oraz bazy danych. Lista rzeczy do sprawdzenia przed instalacją obejmuje:

Dostęp do panelu hostingu i domeny.
Informację, czy hosting oferuje bezpłatny certyfikat Let’s Encrypt.
Kopię plików strony i bazy danych.
Dostęp do pliku .htaccess lub konfiguracji serwera.

Następnie wykonaj kolejne etapy:

Aktywuj certyfikat w panelu hostingu – wybierz domenę i uruchom SSL. W przypadku Let’s Encrypt proces jest zwykle automatyczny. Płatny certyfikat może wymagać dodatkowej walidacji domeny.
Zainstaluj certyfikat na serwerze – część hostingów robi to automatycznie. Przy ręcznej konfiguracji trzeba przypisać certyfikat do właściwej domeny i włączyć obsługę HTTPS.
Wymuś przekierowanie z HTTP na HTTPS – w przypadku serwera Apache otwórz plik .htaccess w katalogu głównym strony, zwykle obok pliku index.php, i dodaj reguły:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Przed zapisaniem sprawdź, czy plik .htaccess zawiera już reguły przekierowań. W niektórych konfiguracjach hostingu powyższy kod może wymagać dostosowania. Jeśli po jego dodaniu pojawi się pętla przekierowań albo błąd serwera, przywróć kopię pliku i skontaktuj się z administratorem hostingu.

Zmień adresy strony w CMS i bazie danych – w WordPressie ustaw adres WordPressa i adres witryny w wersji https://. Odwołania zapisane w treści bazy można zmienić narzędziem typu Better Search Replace, po wykonaniu kopii zapasowej. Najpierw wyszukaj pełny adres z http://, a następnie zastąp go adresem z https://.

Po zmianach sprawdź stronę w trybie prywatnym przeglądarki. Przetestuj stronę główną, formularze, logowanie, koszyk i płatności, jeśli witryna je obsługuje. Certyfikat musi obejmować wszystkie używane warianty domeny, na przykład wersję bez „www” i z „www”, jeśli oba adresy są dostępne.

Dlaczego strona nadal jest oznaczona jako niezabezpieczona?

Najczęstszą przyczyną jest Mixed Content, czyli mieszana zawartość. Występuje wtedy, gdy strona otwiera się przez HTTPS, ale część zasobów nadal jest pobierana przez HTTP. Dotyczy to między innymi obrazów, arkuszy stylów, skryptów, czcionek i ramek.

Certyfikat może być zainstalowany prawidłowo, a mimo to przeglądarka zablokuje niektóre zasoby lub pokaże ostrzeżenie. Aby znaleźć problem, wykonaj następujące czynności:

Otwórz stronę w przeglądarce i naciśnij klawisz F12.
Przejdź do zakładki „Console” lub „Network”.
Odśwież stronę i wyszukaj komunikaty zawierające „Mixed Content” albo adresy zaczynające się od http://.
Zmień znalezione adresy zasobów na https:// lub zastosuj ścieżki względne, jeśli pozwala na to konfiguracja.
Wyczyść pamięć podręczną CMS, wtyczek i serwera, a następnie sprawdź stronę ponownie.

Problem może znajdować się także w kodzie motywu, ustawieniach wtyczki, bazie danych albo zewnętrznym skrypcie. Jeżeli zewnętrzny dostawca nie obsługuje HTTPS, trzeba zastąpić jego zasób innym lub usunąć go ze strony.

Co zrobić po wdrożeniu HTTPS?

W Google Search Console dodaj i zweryfikuj adres witryny w wersji https://. Sprawdź też mapę strony, adresy kanoniczne, plik robots.txt oraz narzędzia analityczne. W kampaniach reklamowych i linkach zewnętrznych aktualizuj adresy, choć przekierowanie 301 powinno zachować ciągłość ruchu ze starych odnośników.

Jeśli nie masz dostępu do panelu hostingu, nie edytuj samodzielnie konfiguracji serwera. Zleć instalację administratorowi lub obsłudze hostingu. Tak samo postąp, gdy po zmianach pojawia się błąd 500, pętla przekierowań albo problemy z logowaniem.

Po prawidłowej instalacji SSL, przekierowaniu HTTP na HTTPS i usunięciu Mixed Content przeglądarka powinna przestać oznaczać witrynę jako niezabezpieczoną. Sam certyfikat nie wystarczy – cała strona i jej zasoby muszą korzystać z szyfrowanego adresu.