Napis „Niezabezpieczona” oznacza, że strona nie ma ważnego certyfikatu SSL albo wczytuje część plików po nieszyfrowanym połączeniu. Certyfikat jest dziś bezpłatny u większości dostawców hostingu, więc to sprawa ustawień, a nie kosztów.
Trzy różne przyczyny
- Brak certyfikatu. Strona działa tylko pod adresem zaczynającym się od
http://. - Certyfikat wygasł. Przeglądarka pokazuje całostronicowe ostrzeżenie i większość osób zawraca.
- Treść mieszana. Certyfikat jest, ale obrazki albo skrypty są wczytywane po
http://. Kłódka znika albo strona wygląda na rozsypaną.
Jak włączyć certyfikat
W panelu hostingu znajdź dział SSL albo Let's Encrypt i włącz certyfikat dla domeny, z wersją www i bez niej. Odnawia się sam co kilka tygodni. Jeśli przestał się odnawiać, zwykle domena przestała wskazywać na ten serwer albo coś blokuje weryfikację.
Przekierowanie na szyfrowany adres
Sam certyfikat nie wystarczy. Stary adres http:// musi przekierowywać na https://. Ustawia się to w panelu hostingu albo w pliku .htaccess. W WordPressie zmień też oba adresy w Ustawienia, Ogólne.
Usunięcie treści mieszanej
W bazie danych zostają stare odnośniki do obrazków z http://. Podmienia się je narzędziem do zamiany tekstu w bazie, po zrobieniu kopii. Które pliki sprawiają kłopot, pokazuje konsola przeglądarki (klawisz F12).
Co jeszcze warto ustawić
Nagłówek HSTS mówi przeglądarce, żeby zawsze łączyła się szyfrowanym kanałem. To jeden z sześciu nagłówków bezpieczeństwa, które sprawdza nasz test strony.
Dlaczego to pilne
Formularz na stronie bez szyfrowania wysyła dane klienta otwartym tekstem. Przeglądarki ostrzegają o tym przy każdym polu. Google od lat traktuje szyfrowanie jako podstawę.
Czy płatny certyfikat jest lepszy od bezpłatnego?
Szyfruje tak samo. Płatne dają dodatkową weryfikację firmy i gwarancję finansową, co ma znaczenie głównie dla banków i dużych sklepów.
Sprawdź swoją stronę za darmo
Wpisz adres, a w minutę zobaczysz, co wymaga naprawy: serwer, bezpieczeństwo, cookies, poczta i widoczność w Google. Bez rejestracji.