Napis \u201eNiezabezpieczona\u201d oznacza, \u017ce strona otwiera si\u0119 przez zwyk\u0142e HTTP albo \u017ce po\u0142\u0105czenie HTTPS ma b\u0142\u0105d: brak lub wygas\u0142y certyfikat, certyfikat wystawiony dla innego adresu albo elementy strony \u0142adowane przez http. Naprawa to zwykle w\u0142\u0105czenie certyfikatu w panelu hostingu, przekierowanie ca\u0142ej strony na https i poprawienie starych adres\u00f3w w tre\u015bciach.<\/p>\n
\u017be dane przesy\u0142ane mi\u0119dzy odwiedzaj\u0105cym a stron\u0105 nie s\u0105 szyfrowane albo szyfrowanie ma b\u0142\u0119dy, wi\u0119c kto\u015b po drodze mo\u017ce je podejrze\u0107 lub zmieni\u0107. Pomoc Chrome wprost wskazuje, \u017ce naprawi\u0107 to mo\u017ce tylko w\u0142a\u015bciciel strony, przechodz\u0105c na HTTPS.<\/p>\n
Warto rozr\u00f3\u017cni\u0107 trzy sytuacje, bo ka\u017cda ma inn\u0105 przyczyn\u0119:<\/p>\n
Problem b\u0119dzie coraz bardziej widoczny. Google zapowiedzia\u0142, \u017ce od Chrome 154, planowanego na pa\u017adziernik 2026 r., przegl\u0105darka domy\u015blnie zapyta u\u017cytkownika o zgod\u0119 przed pierwszym wej\u015bciem na publiczn\u0105 stron\u0119 bez HTTPS. Dla strony na http oznacza to dodatkowy ekran ostrze\u017cenia przed pierwsz\u0105 wizyt\u0105.<\/p>\n
Najcz\u0119\u015bciej z jednego z pi\u0119ciu powod\u00f3w: brak certyfikatu, wygas\u0142y lub \u017ale wystawiony certyfikat, brak przekierowania z http na https, mieszana tre\u015b\u0107 albo formularz wysy\u0142aj\u0105cy dane na adres http.<\/p>\n
Hosting nie ma w\u0142\u0105czonego certyfikatu dla domeny. Wi\u0119kszo\u015b\u0107 firm hostingowych pozwala w\u0142\u0105czy\u0107 darmowy certyfikat Let's Encrypt w panelu jednym prze\u0142\u0105cznikiem i sama go odnawia. Je\u015bli Tw\u00f3j hosting tego nie oferuje, a masz dost\u0119p do serwera, certyfikat wystawisz klientem ACME, np. Certbot.<\/p>\n
Automatyczne odnowienie przestaje dzia\u0142a\u0107, gdy zmienisz DNS, w\u0142\u0105czysz proxy przed serwerem albo domena zacznie wskazywa\u0107 inny hosting. Cz\u0119sty b\u0142\u0105d to te\u017c certyfikat tylko dla Strona dzia\u0142a pod https, ale wpisanie samej domeny albo stary link otwiera wersj\u0119 http. Wtedy jedni odwiedzaj\u0105cy widz\u0105 k\u0142\u00f3dk\u0119, a inni ostrze\u017cenie, a Google widzi dwie wersje tej samej strony.<\/p>\n Strona otwiera si\u0119 przez https, ale \u0142aduje cz\u0119\u015b\u0107 plik\u00f3w przez http. Wed\u0142ug MDN przegl\u0105darki same zamieniaj\u0105 na https adresy obraz\u00f3w, d\u017awi\u0119k\u00f3w i film\u00f3w, a skrypty, arkusze styl\u00f3w, fonty i ramki \u0142adowane przez http blokuj\u0105. Efektem jest ostrze\u017cenie przy adresie, rozjechany wygl\u0105d albo niedzia\u0142aj\u0105cy element. W WordPressie \u017ar\u00f3d\u0142em s\u0105 zwykle stare adresy wpisane w tre\u015bciach, wid\u017cetach, ustawieniach motywu i stylach page buildera.<\/p>\n Formularz na stronie z k\u0142\u00f3dk\u0105 mo\u017ce mie\u0107 w ustawieniach adres docelowy zaczynaj\u0105cy si\u0119 od http, np. w starym kodzie newslettera. Przegl\u0105darka ostrzega wtedy przed wys\u0142aniem danych, a cz\u0119\u015b\u0107 klient\u00f3w rezygnuje.<\/p>\n Kolejno\u015b\u0107 ma znaczenie: najpierw certyfikat, potem adres strony w WordPressie, potem przekierowanie 301, a na ko\u0144cu poprawki starych adres\u00f3w http w tre\u015bci. Zmiana adresu bez dzia\u0142aj\u0105cego certyfikatu potrafi zablokowa\u0107 dost\u0119p do panelu.<\/p>\n W WordPressie adres zmieniasz w Ustawienia, Og\u00f3lne: pola \u201eAdres WordPressa\u201d i \u201eAdres witryny\u201d musz\u0105 zaczyna\u0107 si\u0119 od https. Przekierowanie najlepiej ustawi\u0107 na serwerze, w pliku Przed zmianami zr\u00f3b kopi\u0119 zapasow\u0105 plik\u00f3w i bazy danych. Je\u015bli po zmianie adresu stracisz dost\u0119p do panelu, adres mo\u017cesz przywr\u00f3ci\u0107 w pliku Tak, ale dopiero gdy ca\u0142a strona i wszystkie subdomeny dzia\u0142aj\u0105 poprawnie przez HTTPS. Nag\u0142\u00f3wek HSTS ka\u017ce przegl\u0105darce otwiera\u0107 stron\u0119 wy\u0142\u0105cznie przez HTTPS przez zadany czas, wi\u0119c p\u00f3\u017aniejszy b\u0142\u0105d certyfikatu zablokuje wej\u015bcie bez mo\u017cliwo\u015bci omini\u0119cia ostrze\u017cenia.<\/p>\n Zacznij od kr\u00f3tkiego Po zmianach przejd\u017a t\u0119 list\u0119, zanim uznasz spraw\u0119 za zamkni\u0119t\u0105.<\/p>\n Certyfikat, przekierowania i aktualizacje to typowe rzeczy, o kt\u00f3rych \u0142atwo zapomnie\u0107 po publikacji strony. Je\u015bli wolisz to zleci\u0107, w ramach opieki nad stron\u0105 WWW<\/a> zajmujemy si\u0119 aktualizacjami, kopiami zapasowymi, monitoringiem i pomoc\u0105 przy awariach.<\/p>\ndomena.pl<\/code>, bez www.domena.pl<\/code>. Certyfikaty Let's Encrypt s\u0105 wa\u017cne 90 dni, a wed\u0142ug zapowiedzi Let's Encrypt od lutego 2027 r. b\u0119dzie to 64 dni, od lutego 2028 r. 45 dni. R\u0119czne odnawianie przestaje wi\u0119c mie\u0107 sens, a monitoring daty wyga\u015bni\u0119cia staje si\u0119 obowi\u0105zkowy.<\/p>\nBrak przekierowania z http na https<\/h3>\n
Mieszana tre\u015b\u0107<\/h3>\n
Formularz wysy\u0142a dane na adres http<\/h3>\n
\n\n
\n \nObjaw<\/th>\n Przyczyna<\/th>\n Co zrobi\u0107<\/th>\n<\/tr>\n<\/thead>\n \n Napis \u201eNiezabezpieczona\u201d na ca\u0142ej stronie<\/td>\n Strona na http, brak przekierowania<\/td>\n Certyfikat i przekierowanie 301 na https<\/td>\n<\/tr>\n \n Pe\u0142noekranowe ostrze\u017cenie o po\u0142\u0105czeniu<\/td>\n Wygas\u0142y certyfikat lub dla innej nazwy<\/td>\n Odn\u00f3w certyfikat dla wersji z www i bez www<\/td>\n<\/tr>\n \n Ostrze\u017cenie tylko na niekt\u00f3rych podstronach<\/td>\n Mieszana tre\u015b\u0107<\/td>\n Popraw adresy http w tre\u015bciach i motywie<\/td>\n<\/tr>\n \n P\u0119tla przekierowa\u0144 po w\u0142\u0105czeniu https<\/td>\n Konflikt przekierowa\u0144 lub proxy<\/td>\n Jedno przekierowanie, poprawny tryb SSL w proxy<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Jak to naprawi\u0107 na typowym hostingu i w WordPressie?<\/h2>\n
.htaccess<\/code> albo w panelu hostingu, tak by ka\u017cdy wariant adresu trafia\u0142 jednym krokiem na docelowy, np. https:\/\/www.domena.pl<\/code>. Stare adresy w bazie zamieniaj narz\u0119dziem, kt\u00f3re obs\u0142uguje dane serializowane, np. poleceniem wp search-replace<\/code> w WP-CLI. Zwyk\u0142a zamiana tekstu w bazie potrafi uszkodzi\u0107 ustawienia wid\u017cet\u00f3w i motywu. Je\u015bli korzystasz z proxy, takiego jak Cloudflare, ustaw tryb szyfrowania Full (strict); tryb Flexible przy przekierowaniu na serwerze ko\u0144czy si\u0119 p\u0119tl\u0105 przekierowa\u0144.<\/p>\nwp-config.php<\/code> sta\u0142ymi WP_HOME<\/code> i WP_SITEURL<\/code>.<\/p>\n<\/div>\nCzy po przej\u015bciu na HTTPS w\u0142\u0105czy\u0107 HSTS?<\/h2>\n
max-age<\/code>, np. jednego dnia, i wyd\u0142u\u017caj go, gdy wszystko dzia\u0142a. Dyrektyw\u0119 includeSubDomains<\/code> dodaj tylko wtedy, gdy ka\u017cda subdomena, tak\u017ce poczta i panele, ma certyfikat. Wpis na list\u0119 preload to decyzja na lata, bo jego wycofanie trwa d\u0142ugo.<\/p>\nCo sprawdzi\u0107 po przej\u015bciu na HTTPS? Lista kontrolna<\/h2>\n
\n