Jak skonfigurować certyfikat SSL w sklepie internetowym?

Konfiguracja certyfikatu SSL w sklepie zależy od jego środowiska. Na platformie SaaS, takiej jak Shoper czy Shopify, aktywujesz HTTPS zwykle w panelu administracyjnym. Na własnym serwerze potrzebujesz między innymi żądania CSR, klucza prywatnego, instalacji certyfikatu oraz przekierowania ruchu z HTTP na HTTPS.

SSL chroni dane logowania, formularze i informacje przesyłane podczas zakupów. W sklepie internetowym jest dziś standardem, wpływa na zaufanie klientów i może wspierać widoczność strony w Google. Samo kupienie lub wydanie certyfikatu nie kończy konfiguracji – trzeba jeszcze wymusić HTTPS i sprawdzić, czy wszystkie zasoby ładują się bez błędów.

Jaki certyfikat wybrać dla sklepu?

Do wyboru masz trzy podstawowe warianty. Różnią się zakresem weryfikacji, sposobem wydania i zastosowaniem. Dla większości sklepów wystarcza certyfikat DV, ale większa firma może zdecydować się na OV lub EV.

Certyfikaty DV, w tym rozwiązania oparte na Let’s Encrypt, zapewniają szyfrowanie połączenia i w wielu przypadkach są wystarczające. OV i EV wymagają sprawdzenia danych firmy przez urząd certyfikacji, dlatego ich wydanie może potrwać dłużej. Przed wyborem sprawdź też, czy certyfikat obejmuje wszystkie używane domeny i subdomeny.

Jak zainstalować certyfikat SSL?

Platforma SaaS

Na platformach takich jak Shoper czy Shopify certyfikat jest zwykle obsługiwany przez operatora. Nie edytujesz plików serwera ani nie instalujesz ręcznie klucza prywatnego. Po podłączeniu własnej domeny wykonaj następujące czynności:

1. Dodaj domenę sklepu w panelu administracyjnym.
2. Skieruj rekordy DNS domeny na adresy wskazane przez platformę.
3. Włącz opcję SSL, HTTPS lub bezpiecznego połączenia, jeśli panel jej wymaga.
4. Poczekaj na weryfikację domeny i wydanie certyfikatu.
5. Ustaw wersję HTTPS jako podstawowy adres sklepu.

Nazwy opcji mogą się różnić zależnie od platformy. Jeżeli SSL nie aktywuje się automatycznie, sprawdź status domeny, rekordy DNS i instrukcję dostawcy. W przypadku SaaS zgłoszenie do supportu jest właściwym rozwiązaniem, zamiast ingerowania w konfigurację serwera, do której zwykle nie masz dostępu.

Własny hosting, VPS lub serwer dedykowany

Na własnym serwerze instalacja przebiega ręcznie. Panel cPanel lub DirectAdmin prowadzi przez większość operacji, natomiast przy konfiguracji przez SSH potrzebujesz dostępu administracyjnego i znajomości używanego serwera, na przykład Apache albo Nginx.

Typowy przebieg wygląda następująco:

1. Wygeneruj parę kluczy oraz żądanie CSR dla właściwej domeny. CSR zawiera dane potrzebne urzędowi certyfikacji do wydania certyfikatu.
2. Prześlij CSR do wybranego dostawcy i potwierdź kontrolę nad domeną, na przykład przez rekord DNS lub plik w serwisie.
3. Pobierz wydany certyfikat oraz certyfikaty pośrednie, jeśli dostawca je udostępnia.
4. Wgraj certyfikat, klucz prywatny i łańcuch certyfikatów w panelu hostingu albo do konfiguracji serwera.
5. Przypisz certyfikat do właściwej domeny i włącz obsługę TLS dla portu HTTPS.
6. Przeładuj konfigurację serwera i otwórz sklep pod adresem zaczynającym się od https://.

Uważaj na dane w CSR. Literówka w nazwie domeny, użycie niewłaściwego klucza prywatnego albo pominięcie subdomeny może uniemożliwić wydanie lub poprawne uruchomienie certyfikatu. Klucza prywatnego nie przesyłaj osobom postronnym i nie umieszczaj w repozytorium kodu.

Co zrobić po zainstalowaniu certyfikatu?

Samo uruchomienie certyfikatu nie sprawia jeszcze, że każda wizyta korzysta z bezpiecznego połączenia. Sklep powinien automatycznie kierować użytkowników z wersji HTTP na HTTPS za pomocą przekierowania 301. Konfiguracja zależy od serwera i platformy.

Na serwerze Apache przekierowanie często dodaje się w pliku .htaccess, ale przed zmianą wykonaj kopię pliku i sprawdź składnię używaną przez hosting. Na Nginx regułę dodaje się w konfiguracji serwera. W SaaS odpowiednia opcja znajduje się zwykle w panelu administracyjnym i nie wymaga edycji plików.

Po włączeniu HTTPS sprawdź także ustawienia sklepu lub CMS. Adres główny witryny powinien zaczynać się od https://. W starszych systemach może być konieczna aktualizacja adresów w bazie danych, zwłaszcza gdy obrazy, arkusze stylów lub skrypty nadal odwołują się do wersji HTTP.

Takie zasoby powodują błąd Mixed Content. Przeglądarka może wtedy zablokować część elementów strony albo wyświetlić ostrzeżenie mimo ważnego certyfikatu. Sprawdź adresy grafik, skryptów, arkuszy CSS, fontów, integracji płatności i narzędzi analitycznych. Zmień je na HTTPS lub użyj adresów względnych, jeśli rozwiązanie jest z nimi zgodne.

Jak sprawdzić, czy SSL działa poprawnie?

Po wdrożeniu przeprowadź kontrolę w trybie prywatnym przeglądarki oraz na kilku urządzeniach. Lista kontrolna powinna obejmować:

• Sprawdź, czy przy adresie sklepu pojawia się ikona kłódki i czy przeglądarka nie zgłasza ostrzeżenia.
• Otwórz szczegóły połączenia i sprawdź nazwę domeny oraz termin ważności certyfikatu.
• Wpisz adres zaczynający się od http:// i upewnij się, że następuje przekierowanie 301 na https://.
• Przetestuj stronę główną, kategorie, kartę produktu, koszyk, logowanie i formularz zamówienia.
• Otwórz narzędzia deweloperskie przeglądarki i sprawdź, czy nie ma komunikatów Mixed Content.
• Sprawdź, czy połączenia z płatnościami, systemem faktur i zewnętrznymi integracjami nadal działają.

Jeśli certyfikat jest ważny, ale sklep nadal wyświetla ostrzeżenia, najczęściej problem dotyczy niepełnego łańcucha certyfikatów, złej konfiguracji domeny, błędnego klucza prywatnego albo zasobów ładowanych przez HTTP. Przy braku dostępu do klucza prywatnego lub błędach serwera lepiej skorzystać z pomocy administratora hostingu.

Właściwie skonfigurowany SSL oznacza nie tylko widoczną kłódkę. Sklep powinien korzystać z HTTPS na całej ścieżce zakupowej, automatycznie przekierowywać ruch HTTP i nie ładować niezabezpieczonych zasobów. Po wdrożeniu zaplanuj też odnowienie certyfikatu, szczególnie gdy korzystasz z rozwiązania o krótkim okresie ważności.