Chrome ostrzega przed wejściem na Twoją stronę: jak przejść z HTTP na HTTPS bez utraty pozycji

Autor: Grzegorz Wojterzak. Aktualizacja: 26 października 2026. Czas czytania: około 13 minut.

HTTPS to szyfrowane połączenie między przeglądarką klienta a Twoim serwerem. Do jego działania potrzebny jest certyfikat SSL, czyli plik, który potwierdza, że serwer naprawdę należy do Twojej domeny. Bez niego wszystko, co klient wpisuje na stronie, leci przez sieć otwartym tekstem: hasło do konta, adres dostawy, treść formularza.

Przez lata Chrome oznaczał takie strony tylko napisem „Niezabezpieczona” obok adresu. Od października 2026 zatrzymuje nowego odwiedzającego ostrzeżeniem na całym ekranie. Poniżej: co się zmieniło, jak sprawdzić stronę i jak przenieść ją na HTTPS bez utraty ruchu z Google.

Co się zmieniło w Chrome w październiku 2026

Zespół bezpieczeństwa Chrome zapowiedział tę zmianę 28 października 2025 r. na blogu Google Online Security. Według zapowiedzi (stan na październik 2026):

• Chrome 154, wydawany w październiku 2026, domyślnie włącza ustawienie „Zawsze używaj bezpiecznych połączeń” w wariancie dla stron publicznych.
• Wcześniej, od Chrome 147 (kwiecień 2026), to samo działało u osób, które w ustawieniach Bezpiecznego przeglądania wybrały najmocniejszy poziom (w polskiej wersji Chrome: „Silniejsza ochrona”, po angielsku Enhanced protection).
• Chrome najpierw próbuje połączyć się przez HTTPS. Jeśli strona go nie obsługuje, pokazuje ostrzeżenie i pyta, czy wejść mimo to.
• Ostrzeżenie można pominąć. Chrome nie powtarza go przy stronach, które ktoś odwiedza regularnie. Pojawia się przy stronach nowych lub dawno nieodwiedzanych.
• Adresy prywatne, np. lokalne adresy IP routera czy firmowy intranet, są wyłączone z tego wariantu.

W polskiej wersji Chrome ekran ma nagłówek „twojadomena.pl nie obsługuje bezpiecznego połączenia z HTTPS”, ostrzega, że atakujący mogą zobaczyć i zmienić wysyłane informacje, i zachęca, żeby poprosić właściciela witryny o przejście na HTTPS.

Co to znaczy dla Twojej strony i sklepu

Strona nadal działa, ale pierwsze, co widzi nowy klient, to komunikat, że ktoś może podejrzeć jego dane. Dla sklepu to szczególnie złe pierwsze wrażenie:

• Tracisz nowych klientów z reklam i Google. Kto klika reklamę lub wynik wyszukiwania, zwykle jest u Ciebie pierwszy raz, więc zobaczy ostrzeżenie.
• Płacisz za kliknięcia, które kończą się powrotem. Część opłaconych wejść z Google Ads lub Meta odbije się od ostrzeżenia.
• WordPress i WooCommerce też to zgłaszają. W Narzędzia → Stan witryny (w wersji angielskiej Tools → Site Health) brak HTTPS jest oznaczony jako problem bezpieczeństwa, a WooCommerce zgłasza go jako krytyczny.
• Google od lat traktuje HTTPS jako jeden z sygnałów rankingowych. To lekki sygnał, ale przy wyrównanej konkurencji nie warto go oddawać.

Jak sprawdzić, czy Twoja strona ma HTTPS

Trzy sprawdzenia zajmą Ci dwie minuty:

1. Wpisz adres z https:// na początku, np. https://twojadomena.pl, w oknie prywatnym. Jeśli strona się wczyta bez błędu certyfikatu, certyfikat już jest i brakuje tylko przekierowania oraz zmiany adresów. Jeśli zobaczysz błąd certyfikatu, trzeba go najpierw włączyć na hostingu.
2. Wpisz adres bez https://, sam twojadomena.pl. Jeśli w pasku adresu zostaje http:// albo napis „Niezabezpieczona”, strona nie przekierowuje na HTTPS.
3. Zajrzyj do panelu WordPressa: Narzędzia → Stan witryny pokaże problem Twoja witryna nie używa połączenia HTTPS, a Ustawienia → Ogólne pokażą, czy adresy strony zaczynają się od http://.

Przejście z HTTP na HTTPS krok po kroku

Kolejność ma znaczenie. Jeśli zmienisz adresy w WordPressie, zanim certyfikat zacznie działać, zablokujesz sobie panel. Jeśli ustawisz przekierowanie bez zamiany adresów w bazie, strona będzie działać, ale bez kłódki.

1. Zrób kopię plików i bazy danych

   Zmiana adresów i zamiana tekstu w bazie to operacje, które trudno odwrócić ręcznie. Kopię zrobisz w panelu hostingu (większość ma narzędzie do kopii lub eksportu bazy w phpMyAdmin) albo przez SSH, czyli zdalny terminal serwera. To polecenie zapisuje bazę WordPressa do jednego pliku:

   wp db export przed-https-$(date +%F).sql

   Pobierz plik na swój komputer, nie zostawiaj go tylko na serwerze.

2. Włącz certyfikat SSL w panelu hostingu

   Większość hostingów w Polsce udostępnia darmowy certyfikat Let's Encrypt, który włącza się jednym przyciskiem przy domenie i odnawia sam. Nazwa sekcji różni się między hostingami, zwykle szukaj „SSL” lub „Certyfikaty” w ustawieniach domeny. Zaznacz obie wersje: z www i bez www. Po kilku minutach wejdź na https://twojadomena.pl i https://www.twojadomena.pl. Obie muszą się wczytać bez błędu certyfikatu, zanim przejdziesz dalej.

   Jeśli stronę obsługuje Cloudflare lub inny CDN (sieć serwerów pośredniczących), certyfikat musi działać także między CDN a serwerem. Inaczej łatwo o pętlę przekierowań opisaną niżej.

3. Zmień adresy strony w WordPressie

   Najprościej użyć przycisku Zaktualizuj swoją witrynę, aby korzystała z HTTPS (Update your site to use HTTPS) w Narzędzia → Stan witryny, który pojawia się, gdy WordPress wykryje działający certyfikat. Według dokumentacji WordPressa przycisk zmienia oba adresy strony i cofa zmianę, jeśli po niej strona nie działa przez HTTPS. Stare adresy w treści wpisów podmienia w locie przy wyświetlaniu, ale nie zmienia ich w bazie, dlatego krok 5 i tak jest potrzebny.

   Ręcznie: w Ustawienia → Ogólne zamień http:// na https:// w obu polach adresu (zrzut niżej) i zapisz. WordPress Cię wyloguje, zaloguj się już przez https://. To samo z terminala:

   # ustawia oba adresy strony na https
   wp option update home 'https://twojadomena.pl'
   wp option update siteurl 'https://twojadomena.pl'

   Jeśli pola są wyszarzone, adresy są wpisane w wp-config.php jako WP_HOME i WP_SITEURL. Zmień je tam.

4. Ustaw stałe przekierowanie 301 na jedną wersję adresu

   Przekierowanie 301 mówi przeglądarce i Google: strona przeniosła się na stałe pod nowy adres. Stare linki i wyniki w Google prowadzą wtedy na https://, a Google przenosi na nią pozycje. Każda stara wersja ma trafiać na docelową jednym skokiem.

   Na serwerze Apache (większość hostingów współdzielonych) dopisz na samej górze pliku .htaccess w głównym katalogu strony, nad blokiem # BEGIN WordPress:

   # wszystko na https://twojadomena.pl (bez www), jednym skokiem
   RewriteEngine On
   RewriteCond %{HTTPS} off [OR]
   RewriteCond %{HTTP_HOST} ^www\. [NC]
   RewriteRule ^ https://twojadomena.pl%{REQUEST_URI} [L,R=301]

   Jeśli Twoja wersja docelowa ma www, wpisz ją w ostatniej linii, a drugi warunek zamień na RewriteCond %{HTTP_HOST} !^www\. [NC]. Parametry w adresie, np. gclid czy utm_source z kampanii, przechodzą przez to przekierowanie bez zmian.

   Na serwerze Nginx przekierowanie ustawia się w konfiguracji serwera, nie w pliku strony. Na hostingu zarządzanym poproś o to wsparcie hostingu, a na własnym serwerze dodaj blok:

   server {
       listen 80;
       server_name twojadomena.pl www.twojadomena.pl;
       return 301 https://twojadomena.pl$request_uri;
   }

   oraz analogiczny blok dla https://www.twojadomena.pl w części z certyfikatem. Wiele paneli hostingowych ma też przełącznik „wymuś HTTPS” przy domenie. Jeśli go użyjesz, nie dodawaj reguł do .htaccess, bo dwa mechanizmy naraz łatwo tworzą łańcuch lub pętlę.

5. Usuń mieszaną treść: zamień stare adresy w bazie danych

   Mieszana treść to sytuacja, w której strona wczytuje się przez https://, ale obrazki, skrypty lub style ściąga ze starych adresów http://. Chrome próbuje takie obrazki pobrać przez HTTPS, a skrypty i ramki z http:// blokuje. Efekt: brak kłódki, rozjechany wygląd albo niedziałający formularz.

   Stare adresy siedzą w treściach i ustawieniach motywu oraz wtyczek, często w formacie serializowanym, którego zwykłe „znajdź i zamień” w phpMyAdmin uszkodzi. WP-CLI robi to bezpiecznie. Najpierw przebieg próbny, który niczego nie zapisuje:

   # próba: pokazuje liczbę zamian w każdej tabeli, nic nie zapisuje
   wp search-replace 'http://twojadomena.pl' 'https://twojadomena.pl' \
     --skip-columns=guid --dry-run
   
   # właściwa zamiana, dopiero po sprawdzeniu wyniku próby
   wp search-replace 'http://twojadomena.pl' 'https://twojadomena.pl' \
     --skip-columns=guid

   Powtórz to samo dla http://www.twojadomena.pl, jeśli strona kiedyś działała z www. Kolumnę guid pomijam, bo to wewnętrzny identyfikator wpisu, a nie adres do wyświetlania. Bez terminala użyj wtyczki do wyszukiwania i zamiany w bazie z katalogu wordpress.org, która obsługuje dane serializowane i ma tryb próbny, np. Better Search Replace. Po zamianie wyczyść pamięć podręczną (cache) wtyczki i CDN.

   Adresy wpisane na sztywno w plikach motywu, w CSS albo w kodach dodanych ręcznie (piksel, czat, mapa) baza nie zmieni. Znajdziesz je w Chrome: otwórz stronę, naciśnij F12 i zajrzyj do karty Issues, gdzie Chrome wypisuje zasoby wczytywane przez HTTP. Sprawdź tak stronę główną, produkt, koszyk, kasę i formularz kontaktowy.

6. Zaktualizuj Google, mapę witryny i integracje

   Według dokumentacji Google o przenoszeniu witryny przy zmianie HTTP na HTTPS nie potrzebujesz narzędzia do zmiany adresu w Search Console. Wystarczy przekierowanie 301, poprawione linki wewnętrzne i mapa witryny z nowymi adresami. W Search Console sprawdź, jaką masz właściwość:

   • Właściwość typu domena obejmuje wszystkie protokoły i subdomeny, więc nic nie dodajesz. Prześlij tylko ponownie mapę witryny.
   • Właściwość z prefiksem URL zaczynająca się od http:// nie pokaże danych nowej wersji. Dodaj właściwość https://twojadomena.pl/ i prześlij w niej mapę witryny. Starą zostaw do porównań.

   W sklepie zaktualizuj też integracje: adres powiadomień u operatora płatności, adresy w pliku produktowym dla Google Merchant Center i porównywarek, adresy docelowe reklam oraz strumień danych w Google Analytics 4. Przekierowanie zwykle wszystko uratuje, ale zbędny skok przy każdym powiadomieniu o płatności to niepotrzebne ryzyko.

Jak powinny wyglądać przekierowania

Twoja strona ma co najmniej cztery wersje adresu i wszystkie muszą prowadzić do jednej. Najczęstszy błąd to łańcuch: najpierw z http na https, potem z www na wersję bez www. Działa, ale każdy skok to opóźnienie i dodatkowy etap dla robota Google.

Sprawdzisz to w terminalu na swoim komputerze. To polecenie pokazuje kod odpowiedzi i adres, na który serwer przekierowuje, bez wczytywania całej strony (na Macu i Linuksie działa w całości; w Windows otwórz Wiersz polecenia, wpisz samo curl.exe -sI adres i odszukaj linie HTTP i Location):

# polecenie i przykładowy, poprawny wynik
$ curl -sI http://www.twojadomena.pl/kontakt/ | grep -iE "^HTTP|^location"
HTTP/1.1 301 Moved Permanently
Location: https://twojadomena.pl/kontakt/

Tak wygląda poprawny wynik (przykład): jeden skok 301 prosto na wersję docelową, z zachowaną podstroną. Jeśli w Location widzisz https://www.…, a docelowa jest bez www, masz łańcuch. Bez terminala: w Chrome naciśnij F12, otwórz kartę Network, zaznacz Preserve log i wpisz stary adres. Lista pokaże każde przekierowanie.

Adresy w ustawieniach WordPressa

Jeśli po zmianie nie możesz się zalogować, bo certyfikat jednak nie działa, dopisz w wp-config.php, nad linią /* That's all, stop editing! */, dwie linie, które tymczasowo nadpiszą ustawienia z bazy:

define( 'WP_HOME', 'http://twojadomena.pl' );
define( 'WP_SITEURL', 'http://twojadomena.pl' );

Gdy certyfikat zacznie działać, zmień te adresy na https:// albo usuń obie linie i popraw pola w panelu.

Najczęstsze problemy po przejściu na HTTPS

Biały ekran albo komunikat o błędzie krytycznym po migracji to zwykle problem z wtyczką. Zobacz Biały ekran WordPress i Na tej stronie wystąpił błąd krytyczny.

Czy stracę pozycje w Google

Przy poprawnym przeniesieniu nie powinieneś. Google traktuje przejście na HTTPS jak przeniesienie witryny: wymaga przekierowań 301, linków wewnętrznych z nowymi adresami, aktualnej mapy witryny i tagu kanonicznego wskazującego wersję https://. Według dokumentacji przetworzenie nowych adresów średniej strony może zająć kilka tygodni, a przekierowania trzeba utrzymywać co najmniej rok. W praktyce zostaw je na zawsze.

Spadek w starej właściwości Search Console i wzrost w nowej to normalne przesunięcie. Niepokojące są błędy 404 albo adresy z mapy witryny oznaczone w raporcie indeksowania jako przekierowania: wtedy mapa nadal podaje stare adresy http://.

HSTS: dopiero na koniec

HSTS to nagłówek, którym serwer mówi przeglądarce: „przez najbliższy czas łącz się ze mną wyłącznie przez HTTPS”. To dobre zabezpieczenie, ale trudno je cofnąć, bo decyzja zostaje w przeglądarkach klientów. Włącz je po kilku tygodniach bezproblemowego działania HTTPS, zacznij od krótkiego czasu ważności i nie obejmuj nim subdomen, jeśli któraś (np. stary sklep testowy) nie ma certyfikatu.

Kiedy nie robić tego samemu

Przejście na HTTPS małej strony firmowej na typowym hostingu to zadanie na wieczór, jeśli masz kopię i dostęp do panelu. Zleć to, gdy:

• masz sklep z płatnościami i każda godzina z niedziałającą kasą to stracona sprzedaż,
• strona stoi za Cloudflare lub innym CDN i po włączeniu HTTPS pojawia się pętla przekierowań,
• strona jest zbudowana kreatorem stron lub motywem, który trzyma adresy w nietypowych miejscach, i po zamianie coś się rozjechało,
• w Search Console po migracji rośnie liczba błędów, a ruch z Google spada dłużej niż kilka tygodni,
• nie masz dostępu do hostingu, bo stronę robił ktoś, kto zniknął (zobacz jak odzyskać dostęp do strony, hostingu i domeny).

Certyfikat trzeba też odnawiać, a od 2026 roku ich ważność stopniowo się skraca. Więcej w artykule Certyfikat SSL co 64 dni.

Najczęstsze pytania