Dlaczego SSL i HSTS to teraz sprawa AI, nie tylko bezpieczeństwa

Wzór do skopiowania: „Jeśli moja strona ma [HTTP / brak HSTS / wygasający SSL], najpierw naprawiam [HTTPS + certyfikat / HSTS / nagłówki], bo AI i przeglądarki potrzebują bezpiecznego kanału. W praktyce sprawdzam URL, certyfikat, nagłówki HTTP, stronę polityki prywatności."

Klient pyta ChatGPT: „czy ten sklep z suplementami jest wiarygodny?". Agent sprawdza opis produktu, dane firmy, opinie, ale po drodze może trafić na prosty problem: strona działa przez HTTP albo ma błąd certyfikatu. Dla człowieka to „brak kłódki". Dla systemu, który ma nie prowadzić użytkownika w ryzykowne miejsce, to powód do ostrożności.

Dlaczego to ważne w 2026

SSL nie jest już tylko dodatkiem do formularza płatności. W 2026 strona konkuruje nie tylko o kliknięcie w Google, ale też o miejsce w odpowiedzi AI: w ChatGPT, Gemini, Perplexity, Claude lub w agentach zakupowych.

Google już w 2014 roku potwierdził HTTPS jako lekki sygnał rankingowy. Chrome idzie dalej: według Google Security Blog od października 2026 Chrome 154 ma domyślnie ostrzegać użytkownika przed pierwszym wejściem na publiczną stronę bez HTTPS.

To nie znaczy, że OpenAI, Anthropic albo Google opublikowały tabelę „brak HSTS = minus 15 punktów". Tego nie ma. Sens jest praktyczny: jeśli strona jest trudna do bezpiecznego pobrania, ma błąd certyfikatu albo miesza HTTP z HTTPS, staje się gorszym kandydatem na źródło odpowiedzi.

Czym to różni się od klasycznego bezpieczeństwa

Klasyczne podejście mówi: SSL chroni płatność, formularz i hasło klienta. Podejście AI-ready mówi: SSL, HSTS i nagłówki bezpieczeństwa pokazują agentowi, że strona jest stabilnym, bezpiecznym i przewidywalnym źródłem danych.

Przykład z e-commerce: sklep z kosmetykami ma dobre opisy i Product schema, ale certyfikat wygasa za 6 dni. Człowiek może tego nie zauważyć. Automatyczny audyt powinien oznaczyć to jako ryzyko.

Przykład z usług: salon fizjoterapii ma formularz rezerwacji na HTTP. Agent może znaleźć ofertę, ale nie powinien zachęcać użytkownika do wpisania telefonu i opisu problemu zdrowotnego w niezabezpieczonym formularzu.

Krok po kroku: co sprawdzić najpierw

Siedem konkretnych kontroli w kolejności, którą zalecamy w audycie. Każdy krok pokazuje wersję „Słabo" i „Lepiej" — i gotowy snippet do skopiowania, jeśli ma zastosowanie.

1. 01
   Sprawdź, czy każda ważna podstrona działa przez HTTPS
   Słabo

   Mamy SSL, bo strona główna ma kłódkę.

   Lepiej

   Strona główna, koszyk, płatność, kontakt, regulamin, polityka prywatności i 10 najważniejszych produktów odpowiadają przez HTTPS bez ostrzeżeń.

   W sklepie z obuwiem sprawdź minimum: /, kategoria butów, karta produktu, koszyk, checkout. W gabinecie dentystycznym: /, cennik, usługi, kontakt, rezerwacja.

   nginx · redirect 80 → 443Kopiuj

   server {
   listen 80;
   server_name twojadomena.pl www.twojadomena.pl;
   return 301 https://$host$request_uri;
   }

   Ten fragment przekierowuje ruch HTTP na HTTPS w Nginx. Nie zastępuje certyfikatu, tylko wymusza bezpieczny adres.

2. 02
   Sprawdź datę wygaśnięcia certyfikatu SSL
   Słabo

   Certyfikat kiedyś był ustawiony przez hosting.

   Lepiej

   Certyfikat wygasa za więcej niż 30 dni, a odnowienie jest automatyczne.

   AuditAI checkpoint 5.1 ostrzega, gdy certyfikat wygasa w mniej niż 30 dni. Dla sklepu z suplementami błąd SSL w weekend może zablokować kampanię i sprzedaż. Dla kancelarii rachunkowej — formularz kontaktowy z danymi firmy.

   Na hostingach typu LH.pl, home.pl, cyber_Folks albo nazwa.pl szukaj sekcji „SSL", „certyfikaty", „Let's Encrypt". Cel: auto-renew ON.

3. 03
   Włącz HSTS dopiero wtedy, gdy HTTPS działa wszędzie
   Słabo

   Dodajemy HSTS, bo jest w poradniku.

   Lepiej

   Najpierw sprawdzamy wszystkie podstrony i subdomeny, potem włączamy HSTS z max-age=31536000.

   HSTS, czyli Strict-Transport-Security, mówi przeglądarce, że dana domena ma być otwierana tylko przez HTTPS. Po wdrożeniu przeglądarka nie pozwala użytkownikowi ominąć błędów certyfikatu.

   nginx · HSTS headerKopiuj

   add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

   Nie włączaj includeSubDomains

   , jeśli masz starą subdomenę na HTTP, np. panel.twojadomena.pl. Najpierw ją napraw albo wyłącz. HSTS jest dobrym zabezpieczeniem, ale źle wdrożony potrafi odciąć część ruchu.

4. 04
   Dodaj Content-Security-Policy w trybie Report-Only
   Słabo

   Nie mamy CSP, bo może coś zepsuć.

   Lepiej

   Najpierw uruchamiamy CSP Report-Only przez 7 dni, sprawdzamy błędy, potem włączamy właściwą politykę.

   CSP nie jest stricte o AI, ale mówi dużo o higienie strony. Sklep ładujący skrypty z 18 losowych domen, iframe z porzuconego pluginu i stare widgety daje agentowi szum, a użytkownikowi ryzyko.

   nginx · CSP Report-OnlyKopiuj

   add_header Content-Security-Policy-Report-Only "default-src 'self'; img-src 'self' data: https:; script-src 'self'; report-uri /csp-report" always;

   Dla sklepu z kosmetykami wyjątkiem mogą być bramki płatności, system opinii i mailing. Dla salonu beauty: kalendarz, mapa, widget opinii. Spisz je, zanim zaczniesz blokować.

5. 05
   Dodaj trzy małe nagłówki: nosniff, frame protection, referrer
   Słabo

   Mamy SSL, reszta nie ma znaczenia.

   Lepiej

   Dodajemy X-Content-Type-Options: nosniff, ochronę przed osadzaniem w iframe i Referrer-Policy.

   Te nagłówki rzadko są tematem rozmowy z właścicielem sklepu, ale w audycie są szybkie do sprawdzenia i zwykle szybkie do naprawy.

   nginx · trzy nagłówkiKopiuj

   add_header X-Content-Type-Options "nosniff" always;
   add_header X-Frame-Options "SAMEORIGIN" always;
   add_header Referrer-Policy "strict-origin-when-cross-origin" always;

   nosniff ogranicza błędne interpretowanie typów plików. X-Frame-Options zmniejsza ryzyko clickjackingu. Referrer-Policy kontroluje, ile informacji o adresie strony przekazujesz dalej.

6. 06
   Uporządkuj politykę prywatności i dane firmy
   Słabo

   Polityka prywatności jest w stopce, chyba jeszcze z szablonu.

   Lepiej

   Polityka prywatności ma aktualną datę, dane administratora, listę narzędzi, podstawę kontaktu i link z każdej podstrony.

   Agent AI nie ocenia wiarygodności tylko po certyfikacie. Patrzy też na sygnały, które dla człowieka są oczywiste: czy firma podaje dane, czy jest regulamin, czy wiadomo, kto odpowiada za formularz.

   Dla sklepu meblowego ważne będą dane sprzedawcy, zasady zwrotu i dostawy. Dla fizjoterapeuty: administrator danych, cel zbierania telefonu, sposób kontaktu i informacja o rezerwacji.

7. 07
   Sprawdź CORS, jeśli masz aplikację, API albo panel klienta
   Słabo

   CORS ustawiony na gwiazdkę, bo wtedy wszystko działa.

   Lepiej

   API dopuszcza tylko konkretne domeny i metody, których naprawdę używasz.

   CORS ma największe znaczenie dla SaaS, integracji, kalkulatorów i paneli klienta. Jeśli w przyszłości agent ma wywołać endpoint, np. sprawdzić termin albo pobrać status zamówienia, API musi być dostępne, ale nie przypadkowo otwarte dla każdego.

   nginx · CORS dla /api/Kopiuj

   location /api/ {
   add_header Access-Control-Allow-Origin "https://twojadomena.pl" always;
   add_header Access-Control-Allow-Methods "GET, POST, OPTIONS" always;
   }

   Sklep bez publicznego API może zostawić CORS na później. Aplikacja SaaS albo system rezerwacji powinien sprawdzić to od razu.

Gotowy schemat audytu SSL + HSTS

Skopiuj tę tabelę do dokumentu i uzupełnij dla swojej strony.

Checklista do wdrożenia

18 punktów do interaktywnego odhaczenia. Klikaj — to lista do pracy, nie do czytania.

Mini-plan na 7 dni

Tydzień, 7 kontroli, jedna dziennie. Każdy krok ma wynik widoczny tego samego dnia.

1. 1Dzień

   Sprawdź 10 najważniejszych URL-i: stronę główną, produkt/usługę, koszyk lub formularz, kontakt, politykę prywatności.

2. 2Dzień

   Włącz lub odnów certyfikat SSL i przekierowanie HTTP → HTTPS.

3. 3Dzień

   Usuń mixed content — stare adresy http:// w obrazkach, skryptach i linkach.

4. 4Dzień

   Włącz HSTS bez preload; includeSubDomains dodaj tylko po sprawdzeniu subdomen.

5. 5Dzień

   Dodaj nosniff, X-Frame-Options i Referrer-Policy.

6. 6Dzień

   Uruchom CSP w trybie Report-Only i zapisz, które zewnętrzne usługi faktycznie są potrzebne.

7. 7Dzień

   Zaktualizuj politykę prywatności i uruchom audyt AI-ready na auditai.cc.

Najczęstsze błędy

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Jak mierzyć efekty

Nie licz tylko pozycji w Google. W tym temacie ważne są sygnały techniczne i operacyjne:

• czy audyt Security przechodzi z F/C na A lub A+;
• czy w logach serwera nie rośnie liczba błędów 3xx/4xx po wymuszeniu HTTPS;
• czy formularze i checkout działają po przekierowaniu z HTTP;
• liczba komunikatów o błędach SSL w narzędziach hostingu;
• alert 30 dni przed końcem certyfikatu (Let's Encrypt, Cloudflare, monitoring).

Dla kogo to nie jest priorytet

Nie zaczynaj od HSTS preload, jeśli masz rozproszoną infrastrukturę i nie wiesz, które subdomeny nadal działają po HTTP. Nie zaczynaj od ostrego CSP, jeśli checkout zależy od wielu zewnętrznych skryptów i nie masz środowiska testowego.

Masz prostą wizytówkę bez formularzy? Najpierw HTTPS, certyfikat i polityka prywatności. CSP i CORS mogą poczekać kilka dni. Masz sklep, rezerwacje, płatności albo konto klienta? Nie odkładaj tego.

FAQ

Podsumowanie

SSL i HSTS nie zastąpią dobrych opisów produktów, schema.org ani treści FAQ. Są jednak fundamentem: bez bezpiecznego kanału agent AI ma mniej powodów, żeby ufać stronie i prowadzić użytkownika dalej.

Zacznij od HTTPS, certyfikatu ważnego ponad 30 dni i HSTS, a dopiero potem dopracuj CSP i pozostałe nagłówki. Jeśli chcesz sprawdzić, które elementy blokują wynik — uruchom audyt na auditai.cc.

Źródła

Cytowane dane pochodzą z publicznych dokumentacji i własnego rejestru checkpointów AuditAI: