Certyfikat SSL i www: jak ustawić DNS, przekierowania i Let’s Encrypt

Dlaczego temat „certyfikat SSL www DNS” wciąż robi problemy w 2026/2027

Certyfikat SSL to dziś standard - ale w praktyce wiele wdrożeń nadal kończy się mieszanką błędów: strona działa bez www, ale z www już nie; sklep ładuje się po HTTPS, lecz część zasobów leci po HTTP (tzw. mixed content); Google indeksuje dwie wersje domeny; a klienci widzą ostrzeżenia w przeglądarce. Najczęściej źródłem nie jest sam certyfikat, tylko zła konfiguracja DNS, brak spójnych przekierowań 301 oraz pominięte ustawienia na serwerze lub w aplikacji (WordPress/WooCommerce, framework, reverse proxy).

Ten poradnik to praktyczne podejście - krok po kroku - do wdrożenia SSL dla domeny z www i bez www, z naciskiem na poprawne ustawienie DNS, przekierowań i darmowych certyfikatów Let’s Encrypt. Uwzględniam realia polskich firm: sklepy na WooCommerce, strony na WordPressie, hosting współdzielony i VPS, a także typowe wymagania compliance (RODO, bezpieczeństwo danych, standardy branżowe).

Jeśli równolegle dbasz o bezpieczeństwo aplikacji, warto spiąć ten temat z praktykami opisanymi w artykule o bezpieczeństwie WordPress i sklepu: Bezpieczeństwo WordPress - sklep.

SSL, TLS, HTTPS - co faktycznie wdrażasz

W języku potocznym mówimy „certyfikat SSL”, ale technicznie chodzi o TLS. Certyfikat jest elementem, który pozwala przeglądarce zweryfikować tożsamość serwera i zestawić szyfrowane połączenie HTTPS. Dla biznesu skutki są bardzo konkretne:

• bezpieczeństwo danych - loginy, hasła, dane klientów, koszyki, płatności (nawet jeśli płatność jest przez zewnętrzną bramkę, to formularze i sesje nadal wymagają ochrony),
• zaufanie - kłódka w przeglądarce, mniej porzuconych koszyków,
• SEO i jakość - HTTPS jest standardem i elementem oceny jakości,
• zgodność z dobrymi praktykami - m.in. w kontekście minimalizacji ryzyka naruszeń.

W polskim kontekście warto traktować HTTPS jako podstawowy element redukcji ryzyka naruszenia danych. Dla porządku wklejam wiarygodne źródła, do których warto wracać przy budowie polityk bezpieczeństwa:

• CERT Polska - aktualne ostrzeżenia i rekomendacje,
• ENISA - dobre praktyki cyberbezpieczeństwa,
• OWASP Top 10 - najczęstsze ryzyka aplikacyjne,
• UODO - kontekst RODO i incydentów,
• Biznes.gov.pl - praktyczne informacje dla firm.

WWW vs bez WWW - wybór wersji kanonicznej i konsekwencje

Na starcie musisz podjąć decyzję: czy Twoją wersją główną będzie https://twojadomena.pl czy https://www.twojadomena.pl. Obie są poprawne, ale wybierz jedną i konsekwentnie do niej przekierowuj wszystko pozostałe (HTTP oraz druga wersja hosta).

W praktyce biznesowej ważne są trzy rzeczy:

• spójność linków w reklamach, stopkach maili, wizytówkach, marketplace’ach,
• uniknięcie duplikacji w indeksowaniu (z punktu widzenia wyszukiwarki to różne hosty),
• uproszczenie analityki (GA4, CRM, atrybucja kampanii) - jeden host jako źródło prawdy.

Jeśli działasz na WooCommerce i walczysz o czas ładowania oraz Core Web Vitals, zobacz też: WooCommerce - optymalizacja szybkości. Dobre przekierowania i poprawna konfiguracja HTTPS mają wpływ na cache, kompresję i stabilność.

DNS pod SSL - co trzeba zrozumieć, zanim klikniesz „Wystaw certyfikat”

DNS nie „włącza SSL” - DNS mówi tylko, pod jaki adres IP (lub nazwę) ma prowadzić dana nazwa hosta. SSL dzieje się na serwerze, CDN lub reverse proxy. Jednak bez poprawnego DNS nie wystawisz certyfikatu i nie wymusisz poprawnych przekierowań.

Najważniejsze rekordy DNS dla domeny i www

• A - wskazuje domenę na adres IPv4 (np. 203.0.113.10).
• AAAA - wskazuje domenę na adres IPv6 (jeśli używasz).
• CNAME - alias (np. www -> domena lub domena -> host dostawcy CDN).
• TXT - często używany do walidacji (np. przy DNS-01 challenge), SPF/DMARC/DKIM, weryfikacji usług.

Klucz: musisz obsłużyć dwa hosty - domenę główną (apex/root) i subdomenę www. Czyli:

• twojadomena.pl
• www.twojadomena.pl

Oba powinny kierować do Twojej infrastruktury (serwer, CDN, reverse proxy), a dopiero potem ustawiasz przekierowania 301 na wersję kanoniczną.

Tabela: najczęstsze konfiguracje DNS dla www i bez www

Uwaga: poniższe to wzorce. Konkret zależy od hostingu i tego, czy używasz CDN typu Cloudflare, Fastly lub usługi „proxy” od dostawcy.

Scenariusz	Rekord dla twojadomena.pl	Rekord dla www	Komentarz praktyczny
Hosting współdzielony (klasyczny)	A -> IP hostingu	CNAME www -> twojadomena.pl lub A -> IP	Najprościej. Upewnij się, że hosting obsługuje oba hosty w konfiguracji vhost.
VPS/dedyk + własny Nginx/Apache	A/AAAA -> IP serwera	A/AAAA -> IP serwera lub CNAME	Pełna kontrola, ale więcej odpowiedzialności za przekierowania i odnowienia certyfikatu.
CDN / reverse proxy przed serwerem	A -> IP/CDN lub CNAME (jeśli dostawca pozwala na apex)	CNAME www -> host CDN	Najczęściej najlepsza wydajność, ale musisz zgrać SSL na edge i origin.
SaaS (platforma sklepowa / landing builder)	Rekord wg instrukcji dostawcy (często A)	CNAME wg instrukcji	W praktyce certyfikat bywa automatyczny, ale www vs bez www nadal wymaga przekierowań.

TTL i propagacja - ile to trwa i jak planować wdrożenie

DNS ma czas życia rekordów (TTL). Zmiany nie są natychmiastowe - zależnie od TTL i cache resolverów. Praktyka wdrożeniowa:

• Jeśli planujesz migrację lub przełączenie IP - obniż TTL (np. do 300 s) 24-48 godzin wcześniej.
• Po wdrożeniu przywróć TTL na rozsądny poziom (np. 3600-14400 s), żeby zmniejszyć obciążenie i ryzyko problemów.

Przekierowania - co dokładnie powinno się dziać

Cel jest prosty: każdy wariant adresu ma trafić do jednej wersji kanonicznej, po HTTPS. W praktyce masz 4 podstawowe wejścia:

• http://twojadomena.pl
• http://www.twojadomena.pl
• https://twojadomena.pl
• https://www.twojadomena.pl

I jedną wersję docelową, np. https://twojadomena.pl (bez www) lub https://www.twojadomena.pl (z www). Wszystkie pozostałe powinny dawać 301 na docelową. 301 jest ważne z perspektywy SEO i zachowania mocy linków.

Minimalna macierz przekierowań (wzorzec)

• HTTP -> HTTPS (zawsze)
• wersja niekanoniczna hosta -> wersja kanoniczna hosta (zawsze)
• bez pętli, bez łańcuchów 301 - najlepiej 1 skok

Jeśli robisz to źle, pojawiają się typowe problemy:

• pętla przekierowań (ERR_TOO_MANY_REDIRECTS) - często gdy proxy/CDN i origin kłócą się o „czy jest HTTPS”,
• łańcuchy przekierowań (HTTP -> HTTPS -> www -> bez www) - spowalniają i utrudniają indeksowanie,
• brak przekierowania - dwie wersje strony działają równolegle,
• 302 zamiast 301 - czasem po migracji zostaje „tymczasowe”.

Let’s Encrypt - jak działa i kiedy (nie) wystarczy

Let’s Encrypt to darmowy urząd certyfikacji. Dla większości stron firmowych i sklepów wystarczy w 100%. Certyfikaty są krótkoterminowe (z założenia odnawiane automatycznie), co wymusza automatyzację - a to w 2026/2027 jest po prostu dobrą praktyką.

Metody walidacji domeny (ACME challenge)

• HTTP-01 - narzędzie (np. certbot) umieszcza plik w katalogu na serwerze, a CA sprawdza go po HTTP. Wymaga poprawnego routingu do serwera.
• DNS-01 - dodajesz rekord TXT w DNS. Działa nawet, gdy serwer jest za firewallem lub gdy chcesz wildcard (np. *.twojadomena.pl).
• TLS-ALPN-01 - walidacja na porcie 443, rzadziej w prostych wdrożeniach.

W praktyce dla domeny i www najczęściej wybiera się HTTP-01 (na prostym hostingu) lub DNS-01 (gdy używasz wielu subdomen, wildcardów albo masz skomplikowaną infrastrukturę).

Kiedy rozważyć płatny certyfikat

Płatny certyfikat nie daje „lepszego szyfrowania” - różnice dotyczą wsparcia, SLA, wygody zarządzania, czasem ubezpieczenia i procesów w firmie. Płatny certyfikat może mieć sens, gdy:

• masz wymagania proceduralne narzucone przez centralę/klienta B2B (audyt, polityka vendorów),
• potrzebujesz specyficznego wsparcia i ręcznej pomocy,
• masz bardzo specyficzne urządzenia/klientów i chcesz maksymalizować kompatybilność (rzadkie w 2026/2027).

Koszty - ile naprawdę kosztuje wdrożenie SSL + www + DNS

Fraza „koszty” jest kluczowa, bo certyfikat bywa darmowy, ale praca i ryzyko już nie. Realny koszt zależy od tego, czy robisz to samodzielnie, czy zleceniem, i jak skomplikowana jest infrastruktura.

Element	Zakres	Typowy koszt (PL)	Uwagi
Certyfikat Let’s Encrypt	DV, 1- wiele domen	0 zł	Wymaga automatycznego odnowienia.
Płatny certyfikat DV/OV	zależnie od wystawcy	od kilkudziesięciu do kilkuset zł/rok	OV częściej w B2B, ale nie jest konieczny dla SEO.
Konfiguracja DNS i przekierowań	wdrożenie + testy	czas własny lub 200-1000+ zł jednorazowo	Zależy od hostingu i skali.
CDN/WAF (opcjonalnie)	ochrona i wydajność	0- kilkaset zł/mies.	Przy sklepach rośnie sens w sezonie Q4.
Monitoring certyfikatu	alerty o wygaśnięciu	0- kilkadziesiąt zł/mies.	Warto, bo jeden błąd odnowienia potrafi „zabić” sprzedaż.

Wdrożenie krok po kroku - 3 praktyczne scenariusze

Poniżej dostajesz trzy scenariusze, które najczęściej spotkasz w małej i średniej firmie. W każdym zakładam cel: jedna wersja kanoniczna, pełne HTTPS, poprawne DNS i brak błędów w przeglądarce.

Scenariusz 1: hosting współdzielony (panel typu cPanel/Plesk)

Kiedy: prosta strona, sklep na WordPress/WooCommerce, standardowy hosting.

1. Ustaw DNS - rekord A dla twojadomena.pl na IP hostingu, oraz rekord dla www (CNAME na domenę lub A na IP).
2. Dodaj domenę i alias www w panelu hostingu (ważne - oba hosty muszą być obsłużone).
3. Wystaw certyfikat - w wielu panelach jest wbudowane Let’s Encrypt. Wybierz oba hosty: twojadomena.pl i www.twojadomena.pl.
4. Wymuś HTTPS - funkcja „Force HTTPS” lub reguły .htaccess (Apache) / konfiguracja Nginx.
5. Wymuś wersję kanoniczną - przekieruj www -> bez www albo odwrotnie (301).
6. Zaktualizuj adres w WordPress (Ustawienia -> Ogólne) na wersję kanoniczną https.
7. Testy - sprawdź 4 warianty wejścia i czy zawsze kończy się na docelowym URL w 1 skoku.

Jeśli przy okazji wdrożenia porządkujesz polityki prywatności i dane, może Ci się przydać: RODO w firmie - obowiązki 2026.

Scenariusz 2: VPS/dedyk - Nginx + certbot (Let’s Encrypt)

Kiedy: masz własny serwer, własną konfigurację vhost i chcesz pełną kontrolę.

Modelowe podejście (bez wchodzenia w dystrybucję i szczegóły):

1. DNS - ustaw A/AAAA dla domeny i www na IP serwera.
2. Serwer HTTP - skonfiguruj dwa server_name: twojadomena.pl i www.twojadomena.pl.
3. Wystaw certyfikat dla obu nazw (SAN) narzędziem ACME (np. certbot) metodą HTTP-01 lub DNS-01.
4. Przekierowania 301:
   • port 80 -> 301 na https i kanoniczny host,
   • port 443 dla hosta niekanonicznego -> 301 na kanoniczny host (po https).
5. Automatyczne odnowienia - cron/systemd timer i test odnowienia w trybie dry-run.

W środowiskach VPS bardzo często pojawia się temat kopii zapasowych i odtwarzania po incydencie. Warto mieć to poukładane równolegle: Backup w firmie - strategia 3-2-1 oraz testy: Backup WordPress - test odzyskiwania.

Scenariusz 3: CDN/reverse proxy (np. Cloudflare) + origin server

Kiedy: chcesz WAF, cache, ochronę przed botami, lepszą wydajność - szczególnie w e-commerce i w sezonie Q4.

1. DNS - kierujesz domenę i www na CDN (zależnie od dostawcy: A/AAAA lub CNAME).
2. SSL na edge - ustaw tryb TLS między przeglądarką a CDN (to zwykle jest łatwe).
3. SSL między CDN a origin - tu często psuje się całość. Ustaw pełne szyfrowanie do origin, najlepiej z certyfikatem na origin (Let’s Encrypt lub cert origin dostawcy).
4. Przekierowania - zdecyduj, czy robisz je na CDN (reguły) czy na origin. Zwykle najlepiej robić kanonizację hosta i HTTP -> HTTPS na edge, żeby zmniejszyć liczbę skoków.
5. Unikaj pętli - jeśli origin nie wie, że ruch był HTTPS na edge, ustaw nagłówki (np. X-Forwarded-Proto) i konfigurację aplikacji.

Jeśli przy okazji oceniasz usługi chmurowe i infrastrukturę, zobacz: Chmura dla firmy - porównanie 2026.

Checklista wdrożenia - wersja do odhaczania (2026/2027)

• Decyzja o wersji kanonicznej - www lub bez www.
• DNS:
  • domena apex ma poprawny rekord A/AAAA (lub dostawca obsługuje CNAME flattening),
  • www ma poprawny rekord CNAME/A,
  • TTL obniżony przed migracją (jeśli dotyczy),
  • brak starych rekordów kolidujących.
• Certyfikat:
  • cert obejmuje twojadomena.pl i www.twojadomena.pl (SAN),
  • automatyczne odnowienie działa (test dry-run),
  • łańcuch certyfikatów poprawny (pełny chain).
• Przekierowania:
  • http -> https (301),
  • host niekanoniczny -> kanoniczny (301),
  • brak pętli, brak łańcuchów (idealnie 1 przekierowanie).
• WordPress/WooCommerce (jeśli dotyczy):
  • Adres WordPress i Witryny ustawiony na https + kanoniczny host,
  • brak mixed content (zasoby, fonty, obrazki),
  • cookie i sesje działają poprawnie.
• SEO i analityka:
  • Search Console - dodane i zweryfikowane właściwości (najlepiej domenowa),
  • sitemap generuje URL-e w wersji kanonicznej,
  • GA4 i piksele reklamowe nie dublują hostów.
• Bezpieczeństwo:
  • włączone HSTS (po testach, ostrożnie),
  • wyłączone stare protokoły TLS (o ile masz wpływ),
  • monitoring ważności certyfikatu.

Najczęstsze błędy i szybka diagnostyka

1) Certyfikat jest tylko dla domeny bez www (lub tylko dla www)

Objaw: po wejściu na drugi host przeglądarka pokazuje błąd certyfikatu. Rozwiązanie: wystaw certyfikat SAN obejmujący oba hosty lub dwa certyfikaty (rzadziej ma sens). Przy Let’s Encrypt po prostu dodaj obie nazwy w żądaniu.

2) Pętla przekierowań po włączeniu HTTPS

Objaw: ERR_TOO_MANY_REDIRECTS. Najczęściej CDN/reverse proxy terminują TLS, a origin robi dodatkowe przekierowania, bo „widzi HTTP”. Upewnij się, że:

• aplikacja dostaje poprawny sygnał o protokole (X-Forwarded-Proto),
• nie masz dwóch miejsc, które wymuszają to samo (np. WordPress plugin + Nginx + reguły CDN),
• tryb SSL w CDN nie jest ustawiony na „Flexible”, jeśli origin ma HTTPS (to częsta pułapka).

3) Mixed content po migracji na HTTPS

Objaw: kłódka znika, a w konsoli są ostrzeżenia o zasobach HTTP. Rozwiązanie:

• zamień URL-e zasobów na https,
• popraw linki w bazie (WordPress: ostrożnie z masową zamianą),
• upewnij się, że zewnętrzne skrypty (widgety, czaty) ładują się po https.

4) Dwie wersje strony w Google (www i bez www)

Objaw: indeksują się oba hosty. Rozwiązanie: dopnij 301, ustaw kanoniczne URL-e, sprawdź mapę strony, oraz konsekwentnie linkuj wewnętrznie tylko do wersji kanonicznej.

Porównanie podejść - Let’s Encrypt vs płatny certyfikat vs certyfikat w CDN

Cecha	Let’s Encrypt	Płatny DV/OV	SSL w CDN
Cena	0 zł	zwykle 50-500+ zł/rok	często w cenie planu
Automatyzacja odnowień	tak (zalecane)	zależy od dostawcy	tak (po stronie dostawcy)
Kontrola	duża	średnia-duża	zależy od modelu (edge/origin)
Najlepsze dla	większości firm i sklepów	firm z wymaganiami audytowymi	e-commerce, duży ruch, potrzeba WAF/cache
Ryzyka	awaria odnowienia, zła automatyzacja	wyższy koszt, nadal potrzebna konfiguracja	błędy trybów SSL, pętle, złożoność

Polski kontekst: e-commerce, faktury, dane osobowe i incydenty

Wdrożenie HTTPS nie „załatwia RODO”, ale jest fundamentem minimalizacji ryzyka przechwycenia danych w tranzycie. Jeśli prowadzisz sklep, to przetwarzasz co najmniej dane kontaktowe i adresowe klientów, a często także dane wrażliwe biznesowo (historia zakupów, preferencje). Z punktu widzenia ryzyka incydentu, brak HTTPS jest trudny do obrony w 2026/2027.

W praktyce warto podejść do tego tak:

• HTTPS jako warunek konieczny - nie przewaga konkurencyjna, tylko standard.
• Reszta bezpieczeństwa jako proces - aktualizacje, backup, WAF, kontrola wtyczek, ochrona poczty (SPF/DKIM/DMARC).

Jeżeli temat ochrony poczty i podszywania jest u Ciebie aktualny, połącz to z: Poczta firmowa - SPF, DKIM, DMARC.

FAQ - najczęstsze pytania (praktycznie, bez teorii)

Czy muszę mieć certyfikat osobno dla www i bez www?

Najczęściej nie - wystarczy jeden certyfikat z dwoma nazwami (SAN): twojadomena.pl oraz www.twojadomena.pl. Ważne, żeby w procesie wystawienia dodać oba hosty.

Czy mogę zrobić CNAME z domeny głównej na inny host?

Klasycznie apex (twojadomena.pl) nie może być CNAME, ale część operatorów DNS oferuje obejścia typu „CNAME flattening” lub „ALIAS/ANAME”. Jeśli nie masz takiej opcji, użyj rekordu A/AAAA dla domeny głównej i CNAME dla www.

Co jest lepsze dla SEO - www czy bez www?

Nie ma „lepsze”. Liczy się spójność: wybierz jedną wersję, ustaw 301 z drugiej i trzymaj to konsekwentnie w linkowaniu, sitemapie i ustawieniach CMS.

Czy przekierowanie powinno być 301 czy 302?

Dla stałej kanonizacji hosta i przejścia na HTTPS używaj 301. 302 zostaw dla przypadków czasowych (np. testy, krótkie akcje), ale nie dla wersji domeny.

Jak sprawdzić, czy SSL działa poprawnie bez specjalnych narzędzi?

Minimum biznesowe: wpisz w przeglądarce wszystkie 4 warianty (HTTP/HTTPS oraz www/bez www) i sprawdź, czy kończą na jednym docelowym URL. Dodatkowo otwórz narzędzia deweloperskie i sprawdź, czy nie ma mixed content.

Czy HSTS warto włączać?

Tak, ale dopiero gdy masz pewność, że HTTPS działa stabilnie na wszystkich hostach i subdomenach, które obejmuje polityka. HSTS potrafi „zablokować” dostęp, jeśli zrobisz to zbyt wcześnie lub zbyt szeroko. W firmie traktuj to jako etap po testach.

Co z subdomenami typu sklep., panel., api. - czy potrzebuję wildcard?

Jeśli masz wiele subdomen i chcesz uprościć zarządzanie, wildcard (np. *.twojadomena.pl) bywa wygodny, ale zwykle wymaga walidacji DNS-01. Nie zawsze jest konieczny - czasem lepiej wystawić osobne certyfikaty dla konkretnych hostów, szczególnie jeśli są na różnych serwerach.

Podsumowanie - standard, który musi być zrobiony „raz a dobrze”

Wdrożenie „certyfikat SSL www DNS” to nie jeden przełącznik, tylko zestaw spójnych ustawień: DNS dla domeny i www, certyfikat obejmujący oba hosty, przekierowania 301 do jednej wersji kanonicznej oraz testy po wdrożeniu. Let’s Encrypt w 2026/2027 jest domyślnym wyborem dla większości firm - pod warunkiem, że masz automatyczne odnowienia i monitoring.

Jeśli chcesz podejść do tematu procesowo, połącz to z innymi filarami stabilności: kopie zapasowe (strategia 3-2-1), testy odtwarzania (backup WordPress - test odzyskiwania) oraz twarde praktyki bezpieczeństwa aplikacji (bezpieczeństwo WordPress).

Jeżeli chcesz, mogę przygotować też krótką checklistę „przed publikacją” dopasowaną do Twojego hostingu (współdzielony/VPS/CDN) oraz do tego, czy wersją kanoniczną ma być www czy bez www - tak, żeby wdrożenie poszło w jednym oknie serwisowym, bez przestojów.