W tym artykule dowiesz się, czym HTTP różni się od HTTPS, czy HTTPS wpływa na pozycje w Google i jak przejść z HTTP na HTTPS bez utraty ruchu. Krótko: HTTPS to HTTP z szyfrowaniem TLS, więc nikt po drodze nie podejrzy ani nie podmieni danych. Dla SEO HTTPS jest lekkim sygnałem rankingowym od 2014 roku, ale ważniejsze są dwa inne skutki: Google wybiera wersję HTTPS jako kanoniczną, a Chrome 154, zgodnie z zapowiedzią Google na październik 2026, ma domyślnie ostrzegać przed stronami bez HTTPS.
HTTPS (Hypertext Transfer Protocol Secure) to protokół HTTP przesyłany w szyfrowanym połączeniu TLS, w którym certyfikat potwierdza, że przeglądarka rozmawia z właściwym serwerem. Dane, wersje przeglądarek i zalecenia w artykule są aktualne na październik 2026.
HTTP a HTTPS w skrócie: różnice w tabeli
HTTP i HTTPS przenoszą te same żądania i odpowiedzi (GET, POST, kody 200, 301, 404). Różnica między HTTP a HTTPS leży w warstwie transportu: HTTPS dokłada szyfrowanie, uwierzytelnienie serwera i ochronę przed modyfikacją treści.
| Cecha | HTTP | HTTPS |
|---|---|---|
| Szyfrowanie | brak, dane idą jawnym tekstem | TLS, dane zaszyfrowane między przeglądarką a serwerem |
| Domyślny port | 80 | 443 |
| Certyfikat | niepotrzebny | wymagany (DV, OV lub EV); Let’s Encrypt wydaje DV bezpłatnie |
| Ochrona przed podmianą treści | brak, operator sieci może wstrzyknąć reklamę lub skrypt | jest, zmiana danych w drodze psuje połączenie |
| Chrome, październik 2026 | zgodnie z zapowiedzią Google: pytanie o zgodę przed pierwszym wejściem na publiczną stronę (Chrome 154) | normalne wejście |
| Wybór kanonicznego URL przez Google | wersja słabsza | wersja preferowana, jeśli nie ma błędów |
| Sygnał rankingowy | brak | lekki sygnał od 2014 roku, część page experience |
Dla wyszukiwarki adresy http://example.com/ i https://example.com/ to dwa różne URL-e. Dlatego przejście z HTTP na HTTPS Google traktuje jako przeniesienie witryny ze zmianą adresów, a nie jako drobną zmianę konfiguracji.
Certyfikat TLS: co dokładnie daje HTTPS
Certyfikat TLS (potocznie nadal „certyfikat SSL”, bo TLS jest następcą protokołu SSL) wiąże domenę z kluczem serwera. Przeglądarka sprawdza certyfikat przy każdym połączeniu HTTPS. Wygasły, wystawiony na inną domenę albo niezaufany certyfikat kończy się pełnoekranowym ostrzeżeniem w przeglądarce.
Certyfikaty TLS różnią się poziomem weryfikacji: DV potwierdza tylko kontrolę nad domeną, OV i EV dodatkowo dane firmy. Według FAQ Let’s Encrypt certyfikaty Let’s Encrypt są bezpłatne, ważne 90 dni (zalecane odnawianie co 60 dni), opcjonalnie 6 dni, i wyłącznie typu DV. Dla bloga i strony firmowej certyfikat DV z automatycznym odnawianiem w panelu hostingu w zupełności wystarcza. Moim zdaniem płatny OV lub EV na zwykłej stronie nie daje niczego, co zauważy Google albo użytkownik.
Google Search Central w zaleceniach z 2014 roku wymienia klucze 2048-bitowe, relatywne URL-e zasobów w obrębie tej samej domeny i test konfiguracji w Qualys SSL Labs. Test Qualys SSL Labs pokazuje ocenę serwera, wersje TLS i problemy z łańcuchem certyfikatów.
Czy HTTPS wpływa na pozycje w Google
HTTPS jest sygnałem rankingowym, ale słabym. Wpis Google „HTTPS as a ranking signal” z 7 sierpnia 2014 roku nazywa HTTPS „very lightweight signal”, który dotyczył mniej niż 1% globalnych zapytań i ważył mniej niż jakość treści.
W 2026 roku HTTPS jest częścią page experience. Według dokumentacji Google Search Central o page experience poza Core Web Vitals pozostałe aspekty page experience „don’t directly help your website rank higher”, a lista kontrolna pyta po prostu: „Are your pages served in a secure fashion?”. Samo włączenie HTTPS nie podniesie więc strony o kilka pozycji.
Ważniejszy dla SEO jest wybór wersji kanonicznej. Według dokumentacji Google o konsolidacji duplikatów „Google prefers HTTPS pages over equivalent HTTP pages as canonical”, ale tylko wtedy, gdy wersja HTTPS nie ma błędów. Google wybierze wersję HTTP, gdy strona HTTPS:
- ma nieprawidłowy certyfikat SSL/TLS,
- ładuje niezabezpieczone zasoby po HTTP (poza obrazkami),
- przekierowuje do HTTP albo przez HTTP,
- ma tag canonical wskazujący wersję HTTP.
Dokumentacja Google o konsolidacji duplikatów zaznacza, że zły certyfikat i przekierowanie z HTTPS na HTTP dają bardzo silną preferencję dla HTTP, której nagłówek HSTS nie przełamie. Więcej o tym, jak Google wybiera URL kanoniczny, opisałem we wpisie o tagu canonical.
HTTPS w Chrome od października 2026
Najbardziej odczuwalna w 2026 roku różnica między HTTP a HTTPS dotyczy użytkowników, nie rankingu. Google w ogłoszeniu „HTTPS by default” z 28 października 2025 roku zapowiedziało, że Chrome 154 (październik 2026) domyślnie włączy ustawienie „Always Use Secure Connections” dla publicznych stron. Chrome zapyta wtedy użytkownika o zgodę przed pierwszym wejściem na publiczną stronę bez HTTPS.
Według ogłoszenia Google „HTTPS by default” użytkownicy Enhanced Safe Browsing mieli dostać ustawienie „Always Use Secure Connections” wcześniej, w Chrome 147 (kwiecień 2026). Wyjątkiem są adresy prywatne, np. lokalne IP. Udział HTTPS w nawigacjach Chrome wzrósł z 30–45% w 2015 roku do 95–99% około 2020 roku, więc strona na samym HTTP jest w 2026 roku wyjątkiem, który użytkownik zobaczy jako ostrzeżenie zamiast treści.
Jak przejść z HTTP na HTTPS w 7 krokach
Migrację z HTTP na HTTPS opisuje dokumentacja Google Search Central o przenoszeniu witryny ze zmianą URL-i. Kolejność kroków:
- Zainstaluj certyfikat TLS dla wszystkich wariantów domeny (z www i bez www) i włącz automatyczne odnawianie.
- Ustaw serwerowe przekierowania stałe 301 lub 308 z każdego adresu HTTP na odpowiadający mu adres HTTPS, URL do URL-a, a nie wszystko na stronę główną. Przekierowanie ma prowadzić od razu do adresu docelowego, bez łańcucha http → http://www → https.
- Zmień canonical, linki wewnętrzne, adresy obrazków, skryptów i CSS na https://. W WordPressie najpierw zmień adres witryny w Ustawieniach, a potem zrób search-replace w bazie danych.
- Wygeneruj sitemapę XML z adresami HTTPS i zgłoś ją w Google Search Console.
- Zweryfikuj w Google Search Console oba warianty, HTTP i HTTPS, albo całą domenę jako usługę domeny. Narzędzie Zmiana adresu nie jest potrzebne: dokumentacja Google pisze wprost „You don’t need it for HTTP to HTTPS moves”.
- Usuń mixed content, czyli zasoby ładowane po HTTP na stronach HTTPS.
- Po kilku tygodniach stabilnego działania dodaj nagłówek HSTS. Przekierowania HTTP → HTTPS zostaw na co najmniej rok, a najlepiej na zawsze.
Według dokumentacji Google o przenoszeniu witryny przekierowania 301 i inne przekierowania stałe nie powodują utraty PageRank, a ostrzeżenia o przekierowanych adresach w starej sitemapie HTTP można zignorować. Raport Indeksowanie stron i raport HTTPS w Google Search Console pokażą, czy Google przepisał indeks na nowe adresy. Jak czytać te raporty, opisałem w poradniku Google Search Console: jak korzystać.
HSTS: składnia nagłówka
HSTS (HTTP Strict Transport Security) to nagłówek, który każe przeglądarce łączyć się z domeną wyłącznie po HTTPS przez czas podany w max-age. Według MDN wpis na listę preload wymaga max-age co najmniej 31536000 sekund (rok) i dyrektywy includeSubDomains. Przykładowy nagłówek HSTS na dwa lata:
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
Nagłówek HSTS z preload i includeSubDomains dodaję dopiero wtedy, gdy wszystkie subdomeny działają po HTTPS. Subdomena bez certyfikatu przestanie się wtedy otwierać w przeglądarkach na długie miesiące.
Mixed content: HTTPS, który nie jest do końca HTTPS
Mixed content to sytuacja, w której HTML strony ładuje się po HTTPS, a obrazki, wideo, arkusze CSS albo skrypty po HTTP. Według web.dev zasoby aktywne (skrypty, CSS, iframe) większość przeglądarek blokuje, a zasoby pasywne (obrazki, audio, wideo) Chrome w części przypadków podnosi do HTTPS. Gdy wersji HTTPS zasobu nie ma, zasób się nie ładuje.
Objaw mixed content dla użytkownika to rozjechany layout bez CSS, niedziałający formularz albo pusta ramka po obrazku. Objaw dla SEO to warunek z dokumentacji Google: niezabezpieczone zależności inne niż obrazki osłabiają preferencję wersji HTTPS jako kanonicznej. Mixed content najszybciej znajdę w Chrome DevTools, w karcie Issues, a na całej stronie crawlem Screaming Frog.
Linki po HTTP po migracji: przykład bynajmniej.pl
Migracja z HTTP na HTTPS zostawia ślady w starych wpisach latami. Crawl Screaming Frog bynajmniej.pl z 14.10.2026 (441 wewnętrznych URL-i) znalazł 83 linkowane URL-e po HTTP, czyli stare odnośniki http:// i http://www. w treści wpisów. Blog działa od 2008 roku, a linki wpisane w treść wpisów nie zmieniają się same po zmianie adresu witryny.
Linki po HTTP w treści bynajmniej.pl trafiają najpierw w przekierowanie. Crawl Screaming Frog bynajmniej.pl z 14.10.2026 pokazał też 186 wewnętrznych przekierowań 3xx, w tym 61 łańcuchów, a 92 przekierowania kończą się błędem albo brakiem odpowiedzi. Przykład z crawla: http://www.bynajmniej.pl/wp-content/uploads/2009/06/kaspar.jpg → 301 → 404, czyli link po HTTP do obrazka, którego już nie ma. Takie końcówki opisałem we wpisie o błędzie 404.
Moja rekomendacja po migracji: zrób crawl, wyeksportuj linki wewnętrzne zaczynające się od http:// i podmień je na docelowe adresy HTTPS, a nie tylko na https://. Przekierowanie naprawi kliknięcie, ale nie naprawi łańcucha ani martwego celu. Sprawdzanie linków po HTTP jest częścią kroku o HTTPS w audycie, który opisałem w poradniku jak zrobić audyt SEO.
Czego nie robić przy HTTPS
- Nie przekierowuj wszystkich adresów HTTP na stronę główną HTTPS. Dokumentacja Google o przenoszeniu witryny każe mapować stary URL na jego nowy odpowiednik, a strona główna nie jest odpowiednikiem wpisu.
- Nie usuwaj przekierowań HTTP → HTTPS po kilku tygodniach. Dokumentacja Google zaleca co najmniej rok.
- Nie blokuj wersji HTTPS w robots.txt i nie zostawiaj noindex z wersji testowej.
- Nie zostawiaj canonical wskazującego http://, bo canonical na HTTP jest jednym z warunków, przy których Google wybierze HTTP.
- Nie licz na skok pozycji po samym włączeniu certyfikatu. Kłódka w pasku adresu nie zastąpi treści, choć część ofert „pozycjonowania przez SSL” sugeruje, że płatny certyfikat zrobi za stronę całą robotę.
FAQ: HTTP a HTTPS
Czym różni się HTTP od HTTPS?
HTTPS to HTTP przesyłany w szyfrowanym połączeniu TLS z certyfikatem potwierdzającym tożsamość serwera. HTTP przesyła dane jawnym tekstem na porcie 80, HTTPS szyfruje je na porcie 443.
Czy HTTPS poprawia pozycje w Google?
HTTPS jest lekkim sygnałem rankingowym od sierpnia 2014 roku i według Google dotyczył wtedy mniej niż 1% zapytań. Większy wpływ HTTPS na SEO ma przez to, że Google wybiera poprawną wersję HTTPS jako kanoniczną.
Czy przejście na HTTPS obniży ruch?
Przejście na HTTPS z przekierowaniami 301 URL do URL-a nie powinno obniżyć ruchu na stałe, bo według Google przekierowania stałe nie powodują utraty PageRank. Google musi ponownie zeskanować adresy, więc pełne przepisanie indeksu na HTTPS zależy od tego, jak często Googlebot odwiedza stronę.
Ile kosztuje certyfikat SSL do HTTPS?
Certyfikat Let’s Encrypt typu DV jest bezpłatny i ważny 90 dni z automatycznym odnawianiem. Płatne certyfikaty OV i EV dodają weryfikację firmy, ale nie dają przewagi w Google.
Czy po migracji na HTTPS trzeba używać narzędzia Zmiana adresu w Search Console?
Narzędzie Zmiana adresu w Google Search Console nie jest potrzebne przy przejściu z HTTP na HTTPS. Wystarczą przekierowania 301, nowa sitemapa HTTPS i zweryfikowana usługa HTTPS lub usługa domeny.
Co się stanie ze stroną na HTTP w Chrome w 2026 roku?
Chrome 154, zapowiedziany na październik 2026, domyślnie włącza ustawienie „Always Use Secure Connections”. Przed pierwszym wejściem na publiczną stronę bez HTTPS Chrome zapyta użytkownika o zgodę.
Członek zarządu i współwłaściciel agencji IF.PL, w SEO od ponad 20 lat (m.in. Gazeta.pl, Wirtualna Polska, Polska Press). Na bynajmniej.pl piszę z pomocą AI: temat, dane i testy są moje, AI pomaga ubrać to w słowa.
Dodaj komentarz