Certyfikat SSL na 47 dni i ostrzeżenia Chrome: co zrobić

W skrócie

• Certyfikat SSL wystawiony dziś może być ważny najwyżej 200 dni, od 15 marca 2027 roku 100 dni, a od 15 marca 2029 roku 47 dni.
• Obecny certyfikat działa do końca swojej ważności. Zmiana dotyczy kolejnych odnowień.
• Let's Encrypt skraca swoje certyfikaty z 90 do 64 dni od 10 lutego 2027 roku, a do 45 dni od 16 lutego 2028 roku.
• Chrome od października 2026 roku pyta o zgodę przed wejściem na stronę bez HTTPS.
• Rozwiązanie w obu przypadkach jest to samo: HTTPS na każdej domenie i automatyczne odnawianie certyfikatów.

Harmonogram: 200, 100 i 47 dni ważności certyfikatu SSL

W 2025 roku urzędy certyfikacji i twórcy przeglądarek zrzeszeni w CA/Browser Forum przegłosowali harmonogram skracania ważności certyfikatów. Wcześniej certyfikat mógł być ważny do 398 dni, czyli w praktyce rok. Zmienia się też to, jak długo urząd certyfikacji może korzystać z raz potwierdzonej kontroli nad domeną. Daty dotyczą dnia wystawienia certyfikatu, więc certyfikat wystawiony 14 marca 2027 roku może mieć jeszcze 200 dni ważności.

Dlaczego certyfikaty SSL będą ważne krócej?

Zmianę zaproponowało Apple, a poparli ją przedstawiciele Google Chrome, Mozilli i urzędu certyfikacji Sectigo. Głosowanie zakończyło się 11 kwietnia 2025 roku: 25 urzędów certyfikacji było za, żaden przeciw, 5 wstrzymało się od głosu, a wszyscy 4 głosujący twórcy przeglądarek byli za. W uzasadnieniu CA/Browser Forum podaje, że certyfikat opisuje stan z dnia wystawienia, a ten z czasem się dezaktualizuje, na przykład gdy domena zmieni właściciela albo wycieknie klucz. Krótsza ważność ogranicza skutki takich sytuacji i błędnie wystawionych certyfikatów, mniej zależy od zawodnego unieważniania certyfikatów i ułatwia szybką wymianę algorytmów szyfrowania. Ma też zachęcić do pełnej automatyzacji.

Let's Encrypt: 64 dni od 10 lutego 2027

Let's Encrypt, z którego darmowych certyfikatów korzysta wiele firm hostingowych, wystawia dziś certyfikaty na 90 dni. 7 października 2026 roku ogłosił, że od 10 lutego 2027 roku domyślnie będą one ważne 64 dni, a od 16 lutego 2028 roku 45 dni. Organizacja zaleca odnawianie po upływie około dwóch trzecich ważności albo korzystanie z mechanizmu ARI, w którym to Let's Encrypt podpowiada programowi, kiedy odnowić certyfikat. Radzi też przejrzeć skrypty i instrukcje pod kątem wpisanych na sztywno liczb, takich jak 83, 80 czy 60 dni.

Gdzie ręczne odnawianie przestanie się sprawdzać

• Płatny certyfikat kupowany raz w roku i wgrywany ręcznie. Przy 100 dniach trzeba by to robić kilka razy w roku, a przy 47 dniach mniej więcej co miesiąc.
• Własny serwer albo VPS, na którym ktoś kiedyś ustawił odnawianie skryptem i nikt go od lat nie sprawdzał.
• Serwer API aplikacji mobilnej. Gdy jego certyfikat wygaśnie, aplikacja przestaje łączyć się z serwerem i dla użytkownika po prostu nie działa.
• Panele, poczta i usługi na osobnych subdomenach, każda z własnym certyfikatem.

Co się stanie, gdy certyfikat SSL wygaśnie?

Przeglądarka zamiast strony pokaże pełnoekranowy komunikat o błędzie połączenia, a większość osób w tym miejscu zrezygnuje. Formularze, koszyk i logowanie przestają działać dla wszystkich, którzy nie zaakceptują ryzyka. Aplikacja mobilna zwykle w ogóle nie połączy się z serwerem, bez żadnego komunikatu, który użytkownik mógłby ominąć. Im krótsza ważność certyfikatu, tym częściej taki problem może się pojawić, jeśli odnawianie nie działa automatycznie. Dla wyszukiwarki HTTPS też ma znaczenie: Google w dokumentacji o wrażeniach użytkownika wymienia bezpieczne połączenie HTTPS wśród elementów, które warto sprawdzić na stronie, choć trafność treści pozostaje ważniejsza.

Co zmieniło się w Chrome

Chrome od lat oznaczał strony bez HTTPS jako „Niezabezpieczona”, ale taki napis łatwo przeoczyć. 21 października 2026 roku Google poinformował, że Chrome dla wszystkich użytkowników domyślnie próbuje połączyć się przez HTTPS, a gdy strona go nie obsługuje, pyta o zgodę przed pierwszym wejściem. Po zatwierdzeniu nie pyta ponownie, dopóki użytkownik nie przestanie odwiedzać strony na co najmniej dwa tygodnie. Ostrzeżenia nie pojawiają się przy adresach w sieci lokalnej, na przykład routera. Google podaje, że prawie 95% użytkowników Chrome na komputerach nie widzi w danym tygodniu żadnego takiego ostrzeżenia, więc strona bez HTTPS bardziej rzuca się dziś w oczy niż kilka lat temu.

Kogo dotyczy ostrzeżenie Chrome o HTTP?

• Stron, które w ogóle nie mają certyfikatu i działają tylko pod adresem http://.
• Stron z wygasłym albo źle zainstalowanym certyfikatem. Tu przeglądarka i tak pokazuje błąd, często bardziej odstraszający.
• Starych podstron, subdomen i landing page z kampanii, o których nikt nie pamięta, na przykład promocja.firma.pl.
• Nie dotyczy stron, które mają działający HTTPS. Nawet gdy ktoś wpisze adres z http://, Chrome połączy się bezpiecznie.

Co zrobić teraz

1. Wejdź na swoją stronę przez http:// i sprawdź, czy przekierowuje na https://. Zrób to też dla wersji z www i bez www.
2. Spisz wszystkie domeny i subdomeny firmy, łącznie z serwerem API aplikacji, i sprawdź datę ważności każdego certyfikatu.
3. Dowiedz się, czy certyfikaty odnawiają się automatycznie. Na większości hostingów z darmowym certyfikatem tak jest, ale warto to potwierdzić.
4. Jeśli kupujesz płatny certyfikat, zapytaj dostawcę o automatyczne wydawanie i instalację (protokół ACME).
5. Ustaw powiadomienie o zbliżającym się wygaśnięciu certyfikatu, na przykład w narzędziu do monitorowania strony.

Jak to wygląda u nas

Strony i aplikacje, które budujemy, mają od początku HTTPS, przekierowania i automatyczne odnawianie certyfikatów, a w ramach opieki nad stroną pilnujemy też terminów i monitorujemy dostępność. Jeśli masz starszą stronę i nie wiesz, gdzie leżą certyfikaty, audyt strony obejmuje także HTTPS i przekierowania. O tym, co jeszcze trzeba robić po starcie aplikacji, piszemy we wpisie ile kosztuje utrzymanie aplikacji. Całą ofertę stron znajdziesz na stronie strony internetowe dla firm.

Źródła

• Google: Chrome ostrzega przed niezabezpieczonymi połączeniami HTTP (21.10.2026)
• Google: zapowiedź HTTPS domyślnie w Chrome
• CA/Browser Forum: głosowanie SC-081v3 o skróceniu ważności certyfikatów
• CA/Browser Forum: Baseline Requirements (harmonogram dat)
• Let's Encrypt: certyfikaty 64-dniowe od lutego 2027
• Let's Encrypt: plan skrócenia certyfikatów do 45 dni
• Google Search Central: wrażenia użytkownika a wyniki wyszukiwania (HTTPS)