Protokół HTTPS (Hypertext Transfer Protocol Secure) wpływa na SEO, ale jego waga jest niewielka. Google ogłosił to 7 sierpnia 2014 roku i podał wtedy, że sygnał dotyczy mniej niż 1% zapytań w skali globalnej i liczy się mniej niż wysoka jakość treści. Sama migracja z HTTP nie zapewni więc skoku w wynikach wyszukiwania, a jej brak uruchamia w przeglądarce ostrzeżenie dla użytkowników.
Rola HTTPS w algorytmach rankingowych
Google potwierdził w 2014 roku, że HTTPS stanowi jeden z sygnałów rankingowych, zapowiadając przy tym możliwość zwiększenia jego znaczenia, ale aktualnej wagi nie podaje. Szyfrowane połączenie nie zapewni automatycznie czołowego miejsca, może natomiast wesprzeć pozycjonowanie stron razem z innymi praktykami SEO. Dokumentacja wymienia bezpieczne wyświetlanie na liście pytań o jakość i dodaje, że nie ma jednego sygnału decydującego o ocenie.
- Protokół jest też brany pod uwagę przy wyborze adresu kanonicznego, obok przekierowań i mapy strony.
- Brak szyfrowania widać od razu: przeglądarka pokazuje ostrzeżenie przy niezabezpieczonym połączeniu.
- Postęp wdrożenia sprawdzisz w raporcie HTTPS w Search Console, który wskazuje też, co poprawić.
Ostrzeżenie przy braku zabezpieczeń może zniechęcać do zakupu, a to skutek niezależny od rankingu.
Zaufanie użytkowników i poprawa doświadczeń
Protokół HTTPS buduje zaufanie wśród odwiedzających, bo szyfruje dane i usuwa komunikat o braku zabezpieczeń. Chrome od wersji 68 (lipiec 2018 roku) oznacza każdą stronę HTTP jako "niezabezpieczoną", co może odstraszać potencjalnych klientów.
- Bezpieczne połączenie liczy się najbardziej przy wypełnianiu formularzy kontaktowych, logowaniu i płatnościach.
- HTTPS zapewnia szyfrowanie danych przesyłanych między przeglądarką a serwerem, co ogranicza ryzyko przechwycenia haseł i numerów kart przez osoby trzecie.
- Zabezpieczenia chronią też komunikację przed modyfikacją przez intruzów, a to wpływa na wiarygodność całej strony w oczach klienta.
Sklep powinien dodatkowo sprawdzić w dokumentacji swojej bramki płatniczej, czy HTTPS jest warunkiem jej podłączenia.
Wydajność strony a szyfrowane połączenie
Dobrze skonfigurowany HTTPS może pomóc w wydajności ładowania, bo otwiera drogę do HTTP/2, a Google używa w rankingu wskaźników Core Web Vitals. Progi wynoszą: LCP do 2,5 sekundy, INP krótszy niż 200 milisekund, CLS mniejszy niż 0,1. Wyniki sprawdzisz w raporcie podstawowych wskaźników internetowych w Search Console.
- Żadna przeglądarka nie obsługuje HTTP/2 bez szyfrowania, więc bez HTTPS ta wersja protokołu odpada, a daje ona względem HTTP/1.1 multipleksowanie żądań i kompresję nagłówków.
- Od marca 2024 roku metryka responsywności INP zastąpiła FID, dlatego starsze opisy Core Web Vitals z tym drugim są nieaktualne.
- OCSP Stapling skraca weryfikację przy nawiązywaniu połączenia, ale Let's Encrypt wyłączył usługę OCSP 6 sierpnia 2025 roku, więc przy tym dostawcy ten krok odpada.
Niewłaściwa konfiguracja, np. brak kompresji zasobów, łańcuchy przekierowań lub przestarzałe szyfry, może skutkować wzrostem czasu ładowania i gorszymi parametrami.
Proces wdrożenia HTTPS - 5 kroków
Wdrożenie HTTPS obejmuje 5 kroków: certyfikat, konfigurację serwera, przekierowania, aktualizację adresów i kontrolę błędów.
Zdobądź certyfikat SSL odpowiadający potrzebom strony
Uzyskasz go od zaufanego dostawcy, darmowo (np. Let's Encrypt) albo odpłatnie. Domyślny wariant Let's Encrypt jest ważny 90 dni, a organizacja zaleca odnawianie co 60 dni (jest też opcja 6 dni z odnowieniem co 3 dni). Dla większości projektów wystarczy Domain Validation (DV). Wariant Extended Validation (EV) nie daje już zielonej belki: Chrome od wersji 77 przeniósł nazwę firmy z paska adresu do panelu informacji o stronie.
Skonfiguruj serwer obsługujący połączenia szyfrowane
Po uzyskaniu certyfikatu ustaw obsługę HTTPS w pliku konfiguracyjnym serwera (np. Apache, Nginx, IIS). Zadbaj o włączenie nowoczesnych protokołów szyfrowania TLS 1.2 lub TLS 1.3 i wyłączenie przestarzałych: SSL 2.0, SSL 3.0, TLS 1.0 i TLS 1.1. Dokument RFC 8996 z marca 2021 roku formalnie wycofał dwa ostatnie.
Wdróż przekierowania z HTTP na HTTPS
Cały ruch z wersji HTTP kierujesz na HTTPS przekierowaniami 301, które informują wyszukiwarki o trwałej zmianie adresu. Google tak samo traktuje kod 308. Obejmij wszystkie podstrony, nie samą stronę główną, w przeciwnym razie część treści zostanie na niezabezpieczonym połączeniu. Dokumentacja Google traktuje taką zmianę jak przeniesienie, a pełne rozpoznanie wymaga, aby Googlebot odwiedził co najmniej raz każdy stary i nowy URL.
Zaktualizuj mapę strony oraz adresy wewnętrzne
Po wdrożeniu zaktualizuj plik sitemap, aby zawierał nowe URL-e, i prześlij go w raporcie map w sekcji Indeksowanie. Przejrzyj linki w treściach, menu i stopce: mają prowadzić prosto do wersji HTTPS, bez zbędnych przekierowań. Dodatkowo popraw dane w narzędziach takich jak Google Search Console i Google Analytics 4, a w Search Console zweryfikuj także nowy wariant.
Sprawdź poprawność implementacji i monitoruj błędy
Po migracji sprawdź, czy wszystkie zasoby (obrazy, skrypty, arkusze stylów) ładują się przez HTTPS, bo mieszane treści (mixed content) mogą wywoływać ostrzeżenia w przeglądarkach. Konfigurację certyfikatu przetestujesz bezpłatnym SSL Server Test od SSL Labs, a logi serwera pokażą błędy SSL/TLS.
