SSL certifikát: co dělá a proč ho potřebuje každý web

Obsah

1. Co SSL certifikát dělá
2. SSL, nebo TLS?
3. Proč certifikát potřebuje každý web
4. Platnost certifikátů se zkracuje
5. Co se stane, když certifikát vyprší
6. Co HTTPS nechrání
7. Krátká historie SSL a TLS

Co SSL certifikát dělá

Certifikát má dvě úlohy.

• Šifruje spojení mezi prohlížečem návštěvníka a vaším webem. Co člověk vyplní do formuláře, nemůže cestou nikdo přečíst ani změnit.
• Potvrzuje, že web patří k doméně, kterou má návštěvník v adresním řádku. Certifikát vydá certifikační autorita až poté, co ověří, že doménu skutečně ovládáte.

Rozdíl si můžete představit jako pohlednici a zalepenou obálku. Pohlednici cestou přečte každý, kdo ji drží v ruce. Obálku jen adresát.

Že web certifikát má, poznáte podle adresy začínající https://. Prohlížeče dřív ukazovaly v adresním řádku zámeček, Chrome ho v roce 2023 nahradil nenápadnou ikonou nastavení. Mnohem viditelnější je opačný stav: u webu bez šifrování prohlížeč napíše „Nezabezpečeno“.

SSL, nebo TLS?

Přesně vzato se dnes SSL nepoužívá vůbec. Všechny jeho verze mají bezpečnostní slabiny a jsou dávno vyřazené. Spojení šifruje nástupce SSL, protokol TLS (Transport Layer Security). Název SSL ale v řeči přežil, takže se pořád mluví o „SSL certifikátech“. Myslí se tím totéž.

Na čem záleží: web by měl běžet na TLS 1.2 nebo 1.3. Starší verze TLS 1.0 a 1.1 byly oficiálně vyřazeny v roce 2021 a moderní prohlížeče se přes ně nepřipojí. Pokud váš web běží na serveru, který léta nikdo neaktualizoval, vyplatí se to ověřit.

Proč certifikát potřebuje každý web

Častá námitka zní: „Nic neprodávám, platby nepřijímám, tak k čemu mi certifikát?“ Důvodů je ale víc než platební karty.

• Varování v prohlížeči. Chrome od roku 2018 označuje každý web bez HTTPS jako nezabezpečený. Návštěvník neřeší, co na webu nabízíte, vidí jen varování.
• Kontaktní formuláře. Jméno, e-mail, telefon nebo popis zakázky jsou osobní údaje. Bez šifrování cestují internetem jako ta pohlednice.
• Přihlášení do administrace. Heslo k webu odeslané bez šifrování je snadná kořist, hlavně na veřejné wifi.
• Vyhledávače. Google bere HTTPS jako jeden ze signálů pro řazení výsledků už od roku 2014. Sám o sobě vás na první místo nedostane, ale bez něj začínáte s handicapem.
• Funkce prohlížečů. Řada technologií, například určení polohy nebo notifikace, funguje jen na zabezpečených stránkách.

Certifikát přitom nemusí nic stát. Bezplatné certifikáty Let's Encrypt nabízí většina hostingů a pro běžný firemní web úplně stačí. Placené certifikáty s ověřením firmy mají smysl spíš u bank nebo velkých e-shopů, běžnému návštěvníkovi prohlížeč rozdíl stejně neukáže.

Platnost certifikátů se zkracuje

Každý certifikát platí jen omezenou dobu. Ještě na jaře 2026 mohl platit nejvýš 398 dní, tedy zhruba rok. Obnovit ho jednou ročně se dalo i ručně.

To se teď mění. Sdružení certifikačních autorit a výrobců prohlížečů (CA/Browser Forum) v dubnu 2025 schválilo postupné zkracování maximální platnosti:

• od 15. března 2026: 200 dní,
• od 15. března 2027: 100 dní,
• od 15. března 2029: 47 dní.

V roce 2029 to znamená obnovu zhruba každých šest týdnů. Ruční obnova, připomínka v kalendáři nebo spoléhání na to, že si toho všimne dodavatel, přestávají fungovat. Certifikát se musí obnovovat automaticky a někdo musí hlídat, že automatika opravdu běží.

Bezplatné certifikáty Let's Encrypt platí 90 dní a obnovují se automaticky už dnes, takže první krok zkracování se jich nedotkl. Pokud ale máte placený certifikát, který někdo jednou ročně ručně nahrává na server, je čas to změnit.

Co se stane, když certifikát vyprší

Web nezmizí, ale pro návštěvníky je to skoro totéž. Prohlížeč místo stránky ukáže varování přes celou obrazovku a pokračovat jde jen přes odkaz, na který klikne málokdo. Přestanou chodit poptávky z formuláře, e-shop přestane prodávat a často se na to přijde až po několika dnech, když se ozve první zákazník.

Nejčastější příčiny:

• automatická obnova po změně hostingu nebo nastavení domény přestala fungovat a nikdo si toho nevšiml,
• certifikát pokrývá jen adresu s www, ale ne adresu bez www (nebo naopak),
• upozornění na konec platnosti chodí na e-mail bývalého dodavatele,
• web se načítá přes HTTPS, ale obrázky nebo skripty ze starých adres přes HTTP, takže ho prohlížeč označí jako jen částečně zabezpečený.

Co si můžete zkontrolovat sami:

1. Otevřete web s www i bez www a ověřte, že se obě varianty načtou bez varování a skončí na stejné adrese.
2. Zadejte adresu webu s http:// na začátku. Web by vás měl sám přesměrovat na https://.
3. Klikněte na ikonu vlevo v adresním řádku a podívejte se, do kdy certifikát platí.
4. Zeptejte se hostingu nebo dodavatele, jestli se certifikát obnovuje automaticky a na čí e-mail chodí upozornění.

Hlídání certifikátu, aktualizace a kontrola po každé změně hostingu jsou součástí správy webu, kterou pro klienty dělám.

Co HTTPS nechrání

Certifikát chrání cestu dat, ne web samotný ani vaši firmu. Neříká nic o tom, jestli je web bezpečný, aktuální nebo poctivý. Certifikát si dnes zdarma pořídí i podvodný web.

HTTPS neochrání:

• web se zastaralým redakčním systémem nebo slabým heslem do administrace,
• doménu, ke které má přístup někdo, o kom nevíte, nebo jejíž registrace vyprší,
• firemní e-mail, ze kterého někdo pošle podvrženou fakturu vaším jménem.

Poslední dvě rizika podrobně popisuji v článku Zabezpečení domény. Certifikát je jedna vrstva ochrany, doména pod kontrolou je ta druhá.

Krátká historie SSL a TLS

Protokol SSL (Secure Sockets Layer) vyvinula v roce 1994 společnost Netscape Communications pro svůj prohlížeč Netscape Navigator. První verze se kvůli bezpečnostním chybám na veřejnost nikdy nedostala. Veřejně vyšlo až SSL 2.0 v roce 1995 a o rok později SSL 3.0.

Další vývoj převzala organizace IETF a v roce 1999 vydala protokol pod novým názvem TLS 1.0. Následovaly verze 1.1 (2006), 1.2 (2008) a 1.3 (2018), která je dnes nejrychlejší a nejbezpečnější.

Bez SSL by nevznikl e-commerce, jak ho známe. Poprvé umožnil bezpečně poslat přes internet číslo platební karty a dal lidem důvod nakupovat online. Dnes už šifrování není výhoda e-shopů, ale samozřejmost pro každý web.

Nevíte, jestli se certifikát na vašem webu obnovuje sám a do kdy platí? Pošlete mi adresu webu a ověřím to. Ozvu se vám s výsledkem a případně navrhnu, co upravit.