Przeglądarka pokazuje „Niezabezpieczona” przy adresie strony - przyczyny i naprawa

Napis „Niezabezpieczona” oznacza, że strona otwiera się przez zwykłe HTTP albo że połączenie HTTPS ma błąd: brak lub wygasły certyfikat, certyfikat wystawiony dla innego adresu albo elementy strony ładowane przez http. Naprawa to zwykle włączenie certyfikatu w panelu hostingu, przekierowanie całej strony na https i poprawienie starych adresów w treściach.

Co dokładnie oznacza „Niezabezpieczona” w Chrome?

Że dane przesyłane między odwiedzającym a stroną nie są szyfrowane albo szyfrowanie ma błędy, więc ktoś po drodze może je podejrzeć lub zmienić. Pomoc Chrome wprost wskazuje, że naprawić to może tylko właściciel strony, przechodząc na HTTPS.

Warto rozróżnić trzy sytuacje, bo każda ma inną przyczynę:

• napis „Niezabezpieczona” przy adresie: strona otwiera się przez http albo ładuje część elementów przez http,
• pełnoekranowe ostrzeżenie, że połączenie nie jest prywatne: certyfikat wygasł, jest wystawiony dla innej nazwy albo serwer jest źle skonfigurowany,
• czerwone ostrzeżenie „Niebezpieczna”: stronę oznaczyła usługa Bezpieczne przeglądanie, zwykle po włamaniu. To inny problem, opisany we wpisie WordPress zhakowany: co robić.

Problem będzie coraz bardziej widoczny. Google zapowiedział, że od Chrome 154, planowanego na październik 2026 r., przeglądarka domyślnie zapyta użytkownika o zgodę przed pierwszym wejściem na publiczną stronę bez HTTPS. Dla strony na http oznacza to dodatkowy ekran ostrzeżenia przed pierwszą wizytą.

Dlaczego strona jest oznaczona jako niezabezpieczona?

Najczęściej z jednego z pięciu powodów: brak certyfikatu, wygasły lub źle wystawiony certyfikat, brak przekierowania z http na https, mieszana treść albo formularz wysyłający dane na adres http.

Brak certyfikatu SSL

Hosting nie ma włączonego certyfikatu dla domeny. Większość firm hostingowych pozwala włączyć darmowy certyfikat Let's Encrypt w panelu jednym przełącznikiem i sama go odnawia. Jeśli Twój hosting tego nie oferuje, a masz dostęp do serwera, certyfikat wystawisz klientem ACME, np. Certbot.

Certyfikat wygasł albo nie obejmuje adresu

Automatyczne odnowienie przestaje działać, gdy zmienisz DNS, włączysz proxy przed serwerem albo domena zacznie wskazywać inny hosting. Częsty błąd to też certyfikat tylko dla domena.pl, bez www.domena.pl. Certyfikaty Let's Encrypt są ważne 90 dni, a według zapowiedzi Let's Encrypt od lutego 2027 r. będzie to 64 dni, od lutego 2028 r. 45 dni. Ręczne odnawianie przestaje więc mieć sens, a monitoring daty wygaśnięcia staje się obowiązkowy.

Brak przekierowania z http na https

Strona działa pod https, ale wpisanie samej domeny albo stary link otwiera wersję http. Wtedy jedni odwiedzający widzą kłódkę, a inni ostrzeżenie, a Google widzi dwie wersje tej samej strony.

Mieszana treść

Strona otwiera się przez https, ale ładuje część plików przez http. Według MDN przeglądarki same zamieniają na https adresy obrazów, dźwięków i filmów, a skrypty, arkusze stylów, fonty i ramki ładowane przez http blokują. Efektem jest ostrzeżenie przy adresie, rozjechany wygląd albo niedziałający element. W WordPressie źródłem są zwykle stare adresy wpisane w treściach, widżetach, ustawieniach motywu i stylach page buildera.

Formularz wysyła dane na adres http

Formularz na stronie z kłódką może mieć w ustawieniach adres docelowy zaczynający się od http, np. w starym kodzie newslettera. Przeglądarka ostrzega wtedy przed wysłaniem danych, a część klientów rezygnuje.

Jak to naprawić na typowym hostingu i w WordPressie?

Kolejność ma znaczenie: najpierw certyfikat, potem adres strony w WordPressie, potem przekierowanie 301, a na końcu poprawki starych adresów http w treści. Zmiana adresu bez działającego certyfikatu potrafi zablokować dostęp do panelu.

W WordPressie adres zmieniasz w Ustawienia, Ogólne: pola „Adres WordPressa” i „Adres witryny” muszą zaczynać się od https. Przekierowanie najlepiej ustawić na serwerze, w pliku .htaccess albo w panelu hostingu, tak by każdy wariant adresu trafiał jednym krokiem na docelowy, np. https://www.domena.pl. Stare adresy w bazie zamieniaj narzędziem, które obsługuje dane serializowane, np. poleceniem wp search-replace w WP-CLI. Zwykła zamiana tekstu w bazie potrafi uszkodzić ustawienia widżetów i motywu. Jeśli korzystasz z proxy, takiego jak Cloudflare, ustaw tryb szyfrowania Full (strict); tryb Flexible przy przekierowaniu na serwerze kończy się pętlą przekierowań.

Czy po przejściu na HTTPS włączyć HSTS?

Tak, ale dopiero gdy cała strona i wszystkie subdomeny działają poprawnie przez HTTPS. Nagłówek HSTS każe przeglądarce otwierać stronę wyłącznie przez HTTPS przez zadany czas, więc późniejszy błąd certyfikatu zablokuje wejście bez możliwości ominięcia ostrzeżenia.

Zacznij od krótkiego max-age, np. jednego dnia, i wydłużaj go, gdy wszystko działa. Dyrektywę includeSubDomains dodaj tylko wtedy, gdy każda subdomena, także poczta i panele, ma certyfikat. Wpis na listę preload to decyzja na lata, bo jego wycofanie trwa długo.

Co sprawdzić po przejściu na HTTPS? Lista kontrolna

Po zmianach przejdź tę listę, zanim uznasz sprawę za zamkniętą.

• wszystkie cztery warianty adresu prowadzą jednym przekierowaniem do jednego adresu https,
• certyfikat obejmuje wersję z www i bez www, a automatyczne odnawianie jest włączone,
• konsola przeglądarki nie pokazuje mieszanej treści na stronie głównej, w kontakcie i we wpisach,
• formularze, logowanie i płatności działają bez ostrzeżeń,
• mapa witryny i linki wewnętrzne używają adresów https,
• w Search Console masz właściwość obejmującą wersję https,
• ktoś dostaje powiadomienie, zanim certyfikat wygaśnie.

Certyfikat, przekierowania i aktualizacje to typowe rzeczy, o których łatwo zapomnieć po publikacji strony. Jeśli wolisz to zlecić, w ramach opieki nad stroną WWW zajmujemy się aktualizacjami, kopiami zapasowymi, monitoringiem i pomocą przy awariach.

Ten problem jest jednym z naszej listy 100 problemów ze stroną internetową firmy, w której osobne grupy dotyczą bezpieczeństwa oraz domeny i hostingu.