Ile kosztuje certyfikat SSL? Ceny i rodzaje certyfikatów w Polsce

Cena certyfikatu SSL w Polsce waha się od okrągłego zera za darmowe rozwiązania Let’s Encrypt do nawet trzech tysięcy złotych rocznie za zaawansowane pakiety Extended Validation (EV) przeznaczone dla dużych korporacji. Koszt zależy bezpośrednio od poziomu weryfikacji podmiotu, liczby zabezpieczanych subdomen oraz renomy urzędu certyfikacji wydającego podpis cyfrowy dla domeny.

Wdrożenie bezpiecznego połączenia HTTPS to obecnie absolutny wymóg techniczny. Przeglądarki internetowe bez litości blokują witryny posługujące się starym protokołem HTTP. Użytkownik widzi wielki czerwony komunikat o braku bezpieczeństwa. Konwersja spada natychmiast do zera. Właściciele stron stają przed wyborem odpowiedniego rozwiązania szyfrującego. Rodzaje certyfikatów SSL w Polsce różnią się przeznaczeniem, ubezpieczeniem finansowym i sposobem weryfikacji zgłaszającego się podmiotu. Wybór odpowiedniej opcji zależy od tego, czy prowadzisz prostego bloga, wielki sklep internetowy, czy system bankowości elektronicznej.

Od czego zależy cena certyfikatu SSL na polskim rynku?

Na ostateczny rachunek wystawiony przez firmę hostingową lub urząd certyfikacji (Certificate Authority) wpływa kilka twardych zmiennych. Płacimy za zaufanie. Algorytmy szyfrujące są w większości przypadków identyczne. Zarówno darmowy certyfikat, jak i ten za kilkaset złotych wykorzystują to samo szyfrowanie kluczem publicznym o długości 2048 bitów lub silniejsze algorytmy ECC. Różnica polega na tym, kto i jak skrupulatnie potwierdza tożsamość podmiotu stojącego po drugiej stronie kabla.

Proces certyfikacji to nic innego jak cyfrowy dowód osobisty. Im mocniej urząd certyfikacji musi zaangażować swoich pracowników w sprawdzenie dokumentów firmy, tym wyższa jest cena usługi. To logiczne. Automatyczna weryfikacja mailowa to koszt zerowy. Ręczne przeglądanie odpisów z Krajowego Rejestru Sądowego i wykonywanie telefonów do zarządu to roboczogodziny, za które klient musi zapłacić.

Zeszłej zimy wdrażaliśmy paczkę certyfikatów na serwerach klienta z branży e-commerce. Prawda jest zresztą absolutnie taka, że interfejsy starych hostingów to po prostu koszmar w czystej postaci. Klikasz generowanie żądania CSR, a panel wyrzuca błąd bez żadnego opisu i zrywa sesję. Spędziliśmy nad tym BZDURNYM problemem cztery godziny w nocy z wtorku na środę. Hostingodawca zamknął porty autoryzacyjne. Takie sytuacje z życia pokazują dobitnie, że sam koszt zakupu pliku to często ułamek faktycznych wydatków. Liczy się czas technika. Konfiguracja i debugowanie błędów pochłaniają budżet znacznie szybciej niż opłata abonamentowa za sam podpis cyfrowy.

Jakie są rodzaje certyfikatów i dla kogo się nadają?

Rynek dzieli certyfikaty na trzy główne kategorie walidacji. Ten podział determinuje cenniki u wszystkich polskich i zagranicznych rejestratorów. Nie ma tu żadnej magii. Wybierasz poziom zaufania, za który chcesz zapłacić.

• Domain Validation (DV) – to podstawowa i najtańsza opcja. Weryfikacja sprowadza się do kliknięcia w link przesłany na adres e-mail w domenie (np. [email protected]) lub dodania rekordu TXT w strefie DNS. Certyfikat wydawany jest w ciągu kilku minut. Płatne wersje DV kosztują zazwyczaj od pięćdziesięciu do stu pięćdziesięciu złotych rocznie. Istnieją darmowe alternatywy. Ten typ zabezpieczenia wystarcza dla blogów, stron wizytówkowych i małych forów dyskusyjnych. Weryfikuje tylko prawo do dysponowania domeną.
• Organization Validation (OV) – wariant dla firm. Urząd certyfikacji sprawdza istnienie podmiotu w rejestrach państwowych. Bada zgodność danych adresowych. Proces trwa od jednego do kilku dni. Ceny zaczynają się od około trzystu złotych, a kończą na ponad tysiącu za rok. To standard dla średnich sklepów internetowych i portali korporacyjnych. Użytkownik może kliknąć w kłódkę i zobaczyć pełną nazwę firmy.
• Extended Validation (EV) – najdroższy i najbardziej rygorystyczny certyfikat. Weryfikacja przypomina audyt. Urząd wymaga przesłania dokumentów firmowych, potwierdzenia tożsamości osób decyzyjnych i weryfikuje fizyczny numer telefonu do biura. Koszt to wydatek rzędu od tysiąca do ponad trzech tysięcy złotych za rok ochrony. Kiedyś wyświetlał zielony pasek z nazwą firmy bezpośrednio w pasku adresu przeglądarki. Dzisiaj przeglądarki ukryły ten element głębiej w menu, co mocno poddało w wątpliwość opłacalność tego rozwiązania dla mniejszych graczy. EV to obecnie domena banków i największych instytucji finansowych.
• Opcje dodatkowe (Wildcard i Multi-Domain) – płacimy również za zakres ochrony. Standardowy certyfikat zabezpiecza jedną nazwę (np. www.sklep.pl). Wersja Wildcard chroni domenę główną i wszystkie jej subdomeny pierwszego poziomu (blog.sklep.pl, panel.sklep.pl). Opcja Multi-Domain pozwala podpiąć wiele zupełnie różnych adresów pod jeden certyfikat. Te rozszerzenia drastycznie podnoszą ostateczny koszt faktury.

Darmowy SSL Let’s Encrypt kontra płatne rozwiązania komercyjne – co wybrać?

Pojawienie się inicjatywy Let’s Encrypt całkowicie przemeblowało rynek. Organizacja ta zaczęła wydawać darmowe certyfikaty klasy DV dla każdego. Bez ukrytych opłat. Bez abonamentów. Automatyzacja wyparła konieczność płacenia pośrednikom za proste sprawdzanie własności domeny. Darmowy certyfikat SSL to dzisiaj absolutny standard na większości tanich hostingów współdzielonych w Polsce.

Często słyszę pytanie od klientów szukających oszczędności. Czy darmowa kłódka w przeglądarce wystarczy do sklepu internetowego? Odpowiedź brzmi: to zależy od skali biznesu. Let’s Encrypt szyfruje ruch dokładnie tak samo silnie jak płatny certyfikat od firm typu NASK, Certum czy Sectigo. Z perspektywy matematyki i kryptografii poziom bezpieczeństwa pakietów przesyłanych między serwerem a przeglądarką klienta jest identyczny.

Brak opłat ma jednak swoje techniczne i biznesowe konsekwencje. Darmowe rozwiązania wydawane są wyłącznie na trzy miesiące. Wymagają ciągłego, zautomatyzowanego odnawiania przez skrypty działające na serwerze. Jeśli demon odnawiający ulegnie awarii, strona nagle przestanie działać i wyświetli błąd. Płatne certyfikaty kupuje się na rok. Dają spokój ducha. Komercyjne warianty posiadają także gwarancje finansowe. Urząd certyfikacji bierze na siebie odpowiedzialność do określonej kwoty, jeśli z jego winy algorytm zostanie złamany i dojdzie do wycieku danych. To zabezpieczenie prawne mocno uspokaja zarządy firm przetwarzających tysiące transakcji kartami kredytowymi.

Wydaje się to w sumie oczywistym wyborem dla osiedlowego sklepu z butami. Po co przepłacać. Trzeba jednak uczciwie przyznać, że brakuje nam twardych danych za ubiegły rok z sektora małych przedsiębiorstw, więc zakładam tylko hipotezę, że większość z nich jedzie na darmowych wtyczkach. Komercyjny certyfikat OV daje jednak ten wyraźny sygnał dla audytorów. Pokazuje, że firma przeszła weryfikację. Użytkownik świadomy cyberzagrożeń sprawdzi szczegóły kłódki, zanim poda numer karty płatniczej.

Ile zapłacimy za certyfikat Wildcard i Multi-Domain w 2024 roku?

Pojedyncza domena to rzadkość w rozbudowanych środowiskach IT. Firmy tworzą subdomeny dla systemów CRM, poczty elektronicznej, paneli B2B i środowisk testowych. Kupowanie oddzielnego certyfikatu dla każdego adresu to absurd z punktu widzenia kosztów i zarządzania infrastrukturą.

Certyfikat Wildcard rozwiązuje ten problem. Zabezpiecza domenę główną i każdą możliwą subdomenę. Jego cena jest wyższa, bo bierze na siebie większe ryzyko. Na polskim rynku za certyfikat DV Wildcard zapłacimy od trzystu do ośmiu stów rocznie. Wersja OV Wildcard to już wydatek rzędu tysiąca do nawet dwóch i pół tysiąca złotych.

Zestawmy to w formie tabeli, aby zobrazować różnice kosztowe u popularnych rejestratorów w Polsce. Ceny są szacunkowe i zależą od marży konkretnego dostawcy usług hostingowych.

Opcja Multi-Domain, nazywana również SAN (Subject Alternative Name), pozwala spiąć do kilkuset różnych adresów w jednym pliku instalacyjnym. To idealne dla agencji marketingowych obsługujących wiele marek na jednym serwerze. Płacisz bazową kwotę za sam certyfikat i dopłacasz kilkadziesiąt złotych za każdą kolejną domenę dodaną do listy. Zmieniliśmy te zasady na robocie w zeszłym kwartale. Przejście z kilkunastu osobnych plików na jeden Multi-Domain skróciło czas administracji serwerem o dobre kilka godzin w skali miesiąca.

Ukryte koszty wdrożenia HTTPS na stronie WWW

Kupno certyfikatu to dopiero początek drogi. Wiele osób wpada w pułapkę myślenia, że plik sam się zainstaluje i skonfiguruje. Proces przejścia z HTTP na HTTPS wymaga precyzyjnych modyfikacji w kodzie strony. Bez tego witryna padnie ofiarą błędu „Mixed Content”. Część obrazków lub skryptów będzie ładować się po niezabezpieczonym kanale. Przeglądarka nadal będzie pokazywać ostrzeżenie, mimo zainstalowanego i opłaconego SSL.

Zlecenie wdrożenia certyfikatu agencji interaktywnej lub freelancerowi generuje dodatkowe koszty. Instalacja na prostym WordPressie to robocizna wyceniana na około sto do trzystu złotych. Wdrożenie na autorskim silniku sklepu internetowego, wymagające poprawy zapytań do bazy danych i zmiany ścieżek bezwzględnych na względne, może kosztować nawet kilka tysięcy złotych.

Kolejna sprawa to dedykowany adres IP. Kiedyś przypisanie certyfikatu wymagało posiadania unikalnego adresu IP dla domeny, co wiązało się z miesięcznym abonamentem. Technologia SNI (Server Name Indication) rozwiązała ten problem. Pozwala na instalację wielu certyfikatów na jednym współdzielonym IP. Mimo to, niektóre starsze systemy bankowe lub archaiczne aplikacje integrujące z hurtowniami nadal wymagają dedykowanego IP do poprawnego działania szyfrowania. To kosztuje dodatkowe kilkaset złotych rocznie.

Dlaczego odnowienie SSL kosztuje więcej niż zakup?

To znana i powszechnie nielubiana taktyka sprzedażowa firm hostingowych w Polsce. Kupujesz domenę i certyfikat w promocji za grosze. Pierwszy rok kosztuje cię dziesięć złotych netto. Cieszysz się z oszczędności. Po dwunastu miesiącach przychodzi faktura pro forma na trzysta złotych za odnowienie podstawowego certyfikatu DV.

Rejestratorzy zarabiają na niewiedzy i lenistwie klientów. Przeniesienie certyfikatu i domeny do innej firmy wymaga wygenerowania kodów AuthInfo, interwencji w strefę DNS i ponownej instalacji kluczy na nowym serwerze. Większość właścicieli stron po prostu opłaca zawyżoną fakturę dla świętego spokoju. Żeby uniknąć tego drenażu portfela, należy bezwzględnie sprawdzać cenniki odnowień przed podpisaniem regulaminu promocji. Twarde negocjacje z obecnym usługodawcą często skutkują obniżeniem ceny odnowienia, wystarczy wysłać maila z informacją o planowanym transferze usług do konkurencji.

Certyfikat EV z zielonym paskiem – czy to ma jeszcze sens?

Dekadę temu certyfikat Extended Validation był symbolem prestiżu. Przeglądarki internetowe wyświetlały wyraźny, jaskrawozielony pasek z nazwą firmy tuż obok adresu URL. Użytkownik od razu widział, że wchodzi na stronę bezpiecznej instytucji. Banki wydawały miliony na edukację klientów: „Loguj się tylko tam, gdzie widzisz zielony pasek”.

Twórcy przeglądarek podjęli decyzję o zmianie interfejsów. Doszli do wniosku, że zielony pasek usypia czujność i zabiera cenne miejsce na ekranach urządzeń mobilnych. Zastąpili go zwykłą, szarą kłódką. Taką samą, jaką otrzymuje darmowy certyfikat z automatu. Nazwa firmy została ukryta głęboko w panelu informacji po kliknięciu w ikonę bezpieczeństwa. Nikt tam dzisiaj nie zagląda.

To uderzyło w rynek certyfikatów EV. Ich główna wizualna przewaga wyparowała. Po co płacić trzy tysiące złotych za weryfikację, której nikt nie zauważy na pierwszy rzut oka? Obecnie certyfikaty EV kupują głównie instytucje finansowe, giełdy kryptowalut i podmioty z sektora ochrony zdrowia. Robią to dla spełnienia wewnętrznych rygorów audytowych i polityki bezpieczeństwa korporacyjnego. Dla zwykłego sklepu internetowego zakup EV to wyrzucanie pieniędzy w błoto. Znacznie lepszą inwestycją będzie przeznaczenie tego budżetu na optymalizację szybkości ładowania witryny lub testy penetracyjne infrastruktury.

Konsekwencje braku szyfrowania danych dla pozycjonowania w Google

Wyszukiwarki traktują bezpieczeństwo użytkowników priorytetowo. Google już kilka lat temu oficjalnie potwierdziło, że obecność certyfikatu SSL jest bezpośrednim czynnikiem rankingowym. Strony serwujące treść po starym protokole HTTP otrzymują karę do widoczności w wynikach organicznych.

Sprawa jest prosta. Jeśli nie szyfrujesz ruchu, twoja konkurencja cię wyprzedzi. Nawet jeśli masz lepsze treści i mocniejszy profil linków zwrotnych. Algorytmy uznają twoją witrynę za potencjalnie niebezpieczną, zwłaszcza jeśli posiadasz na niej formularze kontaktowe lub pola logowania. Przeglądarka Chrome oznacza takie strony jako „Niezabezpieczone”, co drastycznie zwiększa współczynnik odrzuceń (Bounce Rate). Użytkownik wchodzi, widzi ostrzeżenie, panikuje i wraca do wyników wyszukiwania.

Brak HTTPS uderza też w analitykę. Ruch przechodzący z zabezpieczonej strony HTTPS na niezabezpieczoną HTTP gubi dane o źródle odesłania. W Google Analytics taki ruch wpada do worka „Direct”, niszcząc całkowicie możliwość rzetelnej analizy skuteczności kampanii reklamowych i artykułów sponsorowanych.

Uruchomienie certyfikatu to nie jest wybór. To techniczny przymus narzucony przez gigantów technologicznych. Zastanawiacie się zresztą, dlaczego to na produkcji tak wyje na testach po drodze podczas wdrożeń starych systemów? Sam się z tym borykałem dzisiaj u siebie we wtorek. Wymuszanie HTTPS na poziomie pliku .htaccess powodowało pętle przekierowań. Trzeba było czyścić cache i ustawiać nagłówki HSTS. Dopiero wtedy strona wstała i zaczęła poprawnie indeksować się w Search Console.

Koszty certyfikatów SSL na polskim rynku są na tyle elastyczne, że każdy znajdzie rozwiązanie dopasowane do możliwości finansowych projektu. Od darmowych skryptów odnawiających się w tle, po komercyjne gwarancje tożsamości z pełną weryfikacją rejestrową. Bezpieczeństwo danych przestało być towarem luksusowym. Stało się infrastrukturą krytyczną. Przestań analizować cenniki w nieskończoność. Zainstaluj darmowy Let’s Encrypt jeszcze dziś, a jeśli przetwarzasz płatności, kup najtańszy certyfikat OV i zajmij się wreszcie poprawą sprzedaży w swoim sklepie.

FAQ – Najczęściej zadawane pytania o certyfikaty SSL

• Czy darmowy certyfikat SSL jest bezpieczny?
  Tak. Pod względem siły szyfrowania danych darmowe certyfikaty Let’s Encrypt oferują dokładnie taki sam poziom zabezpieczeń kryptograficznych jak płatne odpowiedniki komercyjne. Różnica polega na braku weryfikacji danych firmy oraz braku gwarancji finansowych ze strony wystawcy.
• Ile trwa wydanie certyfikatu SSL?
  Certyfikaty typu Domain Validation (DV) wydawane są w pełni automatycznie w ciągu kilku minut od potwierdzenia praw do domeny. Weryfikacja certyfikatów Organization Validation (OV) zajmuje od jednego do trzech dni roboczych. Procedura dla Extended Validation (EV) potrafi przeciągnąć się do tygodnia.
• Czy muszę kupować certyfikat w firmie, w której mam hosting?
  Absolutnie nie. Możesz kupić certyfikat u dowolnego zewnętrznego dostawcy lub urzędu certyfikacji, a następnie wygenerować pliki kluczy i zainstalować je na swoim obecnym serwerze. Niektórzy dostawcy hostingu pobierają jednak opłatę za ręczną instalację obcych certyfikatów.
• Co oznacza błąd Mixed Content po instalacji SSL?
  Błąd ten pojawia się, gdy strona wczytuje się przez bezpieczny protokół HTTPS, ale część jej zasobów (np. obrazki, skrypty CSS, pliki wideo) nadal pobierana jest przez niezabezpieczony link HTTP. Przeglądarka blokuje te elementy. Wymaga to ręcznej podmiany linków w kodzie źródłowym witryny.
• Czy certyfikat SSL chroni przed atakami hakerskimi na stronę?
  Nie. Certyfikat szyfruje wyłącznie transmisję danych na drodze pomiędzy komputerem użytkownika a serwerem. Chroni przed podsłuchiwaniem haseł w sieciach publicznych Wi-Fi. Nie zabezpiecza strony przed włamaniem przez luki w kodzie, atakami DDoS ani infekcjami złośliwym oprogramowaniem.
• Jak sprawdzić, do kiedy ważny jest mój certyfikat?
  Kliknij ikonę kłódki znajdującą się obok adresu strony w przeglądarce internetowej. Wybierz opcję „Bezpieczne połączenie”, a następnie „Certyfikat jest ważny”. Zobaczysz tam dokładną datę wygaśnięcia podpisu cyfrowego.

Bibliografia

1. Naukowa i Akademicka Sieć Komputerowa – https://www.nask.pl
2. Urząd Ochrony Danych Osobowych – https://uodo.gov.pl
3. Ministerstwo Cyfryzacji – https://www.gov.pl/web/cyfryzacja
4. CERT Polska – https://cert.pl
5. Polska Izba Informatyki i Telekomunikacji – https://piit.org.pl