Strona niezabezpieczona – jak to zmienić?

„Strona niezabezpieczona” oznacza najczęściej brak szyfrowanego połączenia HTTPS albo błąd certyfikatu. Jeśli jesteś właścicielem witryny, włącz certyfikat SSL, ustaw przekierowanie z HTTP na HTTPS i popraw zasoby ładowane po starym adresie. Jeśli tylko odwiedzasz cudzą stronę, nie zmienisz jej zabezpieczeń – nie podawaj na niej haseł, danych osobowych ani informacji płatniczych.

Co oznacza komunikat „strona niezabezpieczona”?

HTTPS to szyfrowana wersja protokołu HTTP. Certyfikat SSL/TLS na serwerze pozwala zabezpieczyć dane przesyłane między przeglądarką a witryną. Gdy strona działa wyłącznie pod adresem http://, formularze, hasła i inne informacje mogą być łatwiejsze do przechwycenia lub zmodyfikowania po drodze.

Podobne ostrzeżenie może pojawić się także wtedy, gdy certyfikat wygasł, został wystawiony na inną domenę albo część zasobów strony nadal ładuje się przez HTTP. Samo HTTPS nie potwierdza, że witryna jest uczciwa. Informuje przede wszystkim o szyfrowaniu połączenia i poprawności certyfikatu.

Jak rozpoznać przyczynę ostrzeżenia?

Treść komunikatu i kod błędu pomagają ustalić, czy problem dotyczy serwera, czy komputera odwiedzającego:

Komunikat	Przyczyna	Kto naprawia?
„Niezabezpieczona” przy adresie zaczynającym się od `http://`	Witryna nie korzysta z HTTPS.	Właściciel strony
„Twoje połączenie nie jest prywatne”, `NET::ERR_CERT_DATE_INVALID`	Certyfikat wygasł albo data i godzina na urządzeniu są nieprawidłowe.	Właściciel strony lub użytkownik
`NET::ERR_CERT_COMMON_NAME_INVALID`	Certyfikat wystawiono na inną domenę, na przykład bez wariantu „www”.	Właściciel strony
`NET::ERR_CERT_AUTHORITY_INVALID`	Certyfikat nie jest zaufany albo połączenie przechwytuje antywirus lub sieć.	Właściciel strony lub użytkownik
„Połączenie nie jest w pełni bezpieczne” przy działającym HTTPS	Mixed Content, czyli obrazy, skrypty lub style są pobierane przez HTTP.	Właściciel strony

Przewiń tabelę w bok →

Jeśli ostrzeżenie występuje tylko na jednej witrynie, najczęściej problem leży po jej stronie. Gdy pojawia się na wielu stronach naraz, sprawdź ustawienia własnego urządzenia, antywirusa i sieci.

Jak zmienić stronę na zabezpieczoną, jeśli jesteś jej właścicielem?

Przed zmianami wykonaj kopię plików i bazy danych. Jest to szczególnie ważne przed edycją pliku .htaccess oraz masową zamianą adresów w bazie CMS.

Aktywuj certyfikat SSL. W panelu hostingu znajdź sekcję SSL, Let’s Encrypt lub AutoSSL. Dla zwykłego bloga i strony firmowej bezpłatny certyfikat Let’s Encrypt zwykle wystarcza. Jest on standardowo ważny 90 dni, dlatego pozostaw automatyczne odnawianie włączone.
Sprawdź domenę z „www” i bez „www”. Certyfikat musi obejmować wszystkie warianty adresu, których używa strona. Po instalacji otwórz witrynę z przedrostkiem https:// i sprawdź, czy przeglądarka nie pokazuje błędu.
Wymuś przekierowanie 301 z HTTP na HTTPS. Na serwerze Apache możesz dodać do początku pliku .htaccess reguły:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Jeśli hosting korzysta z proxy, na przykład Cloudflare, przekierowanie może wymagać ustawienia w jego panelu. Nie włączaj kilku niezależnych mechanizmów naraz, ponieważ może powstać pętla przekierowań.

Usuń Mixed Content. Sprawdź, czy obrazy, arkusze stylów, czcionki, skrypty i ramki są pobierane z adresów https://. W przeglądarce otwórz narzędzia deweloperskie klawiszem F12, przejdź do konsoli i wyszukaj komunikaty „Mixed Content”.
Zaktualizuj adresy w CMS. W WordPressie zmień „Adres WordPressa” oraz „Adres witryny” na wersje z HTTPS. Stare odwołania w treści i bazie danych zamieniaj dopiero po wykonaniu kopii zapasowej. Przy większej stronie bezpieczniej zlecić tę operację administratorowi.
Sprawdź usługi zewnętrzne. Zaktualizuj adres witryny w Google Search Console, narzędziach analitycznych, kampaniach reklamowych i miejscach, w których publikujesz linki do strony. Na końcu sprawdź formularze, logowanie, płatności i wszystkie podstrony.

Nie włączaj HSTS przed usunięciem wszystkich problemów z HTTPS. Ten mechanizm wymusza szyfrowane połączenia, więc błędna konfiguracja może utrudnić dostęp do całej domeny. Jeśli po instalacji certyfikatu strona przestaje działać, pojawia się pętla przekierowań albo nie możesz usunąć Mixed Content, przywróć kopię zapasową i skonsultuj konfigurację z administratorem serwera.

Co zrobić, gdy jesteś tylko użytkownikiem?

Na cudzej stronie nie zainstalujesz certyfikatu ani nie naprawisz konfiguracji serwera. Jeżeli ostrzeżenie dotyczy jednej witryny, zamknij ją lub korzystaj wyłącznie z treści, które nie wymagają podawania danych. Nie loguj się, nie wpisuj numeru karty i nie wysyłaj formularzy przez niezabezpieczone połączenie.

Gdy ten sam błąd pojawia się na wielu stronach, sprawdź kolejno:

Ustaw automatyczną datę, godzinę i strefę czasową, a następnie uruchom synchronizację czasu.
Otwórz stronę w trybie incognito lub wyczyść pamięć podręczną przeglądarki.
Zaktualizuj przeglądarkę, system i program antywirusowy.
Sprawdź, czy antywirus nie skanuje połączeń HTTPS i nie podstawia własnego certyfikatu.
Połącz się przez inną sieć, na przykład hotspot telefonu, aby wykluczyć problem z routerem lub publicznym Wi-Fi.

W hotelu, pociągu albo kawiarni sieć może wymagać otwarcia strony logowania. Nie ignoruj jednak ostrzeżenia certyfikatu na stronie banku, sklepu, poczty ani serwisu z kontem użytkownika. Kod błędu widoczny w szczegółach komunikatu warto zapisać lub sfotografować, jeśli prosisz administratora o pomoc.

Najkrótsza zasada jest prosta: ostrzeżenie na jednej stronie oznacza zwykle problem właściciela, a ostrzeżenie na wielu stronach wymaga sprawdzenia zegara, antywirusa i sieci na własnym urządzeniu.