De ce am nevoie de HTTPS / SSL pe site-ul afacerii mele

Dacă adresa site-ului tău începe cu http:// în loc de https://, browserul le arată vizitatorilor un avertisment de tip „Nesigur" chiar lângă numele firmei tale. Pentru un client care intră prima dată pe site, acel avertisment cântărește mai mult decât orice text de prezentare: îi spune să nu completeze formularul și să nu lase datele cardului. Vestea bună e că problema se rezolvă rapid și, în majoritatea cazurilor, gratuit. Mai jos găsești ce înseamnă HTTPS pe înțelesul oricui, de ce contează pentru încredere, Google, GDPR și plăți online, cât costă și cum îl activezi corect, pas cu pas.

Ce este HTTPS și ce face, de fapt, un certificat SSL

HTTP este protocolul prin care browserul vizitatorului comunică cu serverul pe care stă site-ul tău. Litera „S" din HTTPS înseamnă „secure": aceeași comunicare, dar criptată printr-un certificat SSL/TLS instalat pe server. Certificatul face două lucruri: confirmă că domeniul e cel care pretinde că este și criptează tot ce circulă între vizitator și site.

De ce contează criptarea? Pentru că fără ea datele circulă în text clar. Un client care completează formularul tău de contact de pe Wi-Fi-ul unei cafenele trimite numele, telefonul și mesajul într-un format pe care oricine din aceeași rețea îl poate intercepta și citi. Cu HTTPS, aceleași date sunt criptate și nu pot fi citite pe drum. Lacătul din bara de adrese exact asta semnalează: conexiunea dintre vizitator și site e privată.

Browserele marchează site-urile HTTP ca nesigure

Din 2018, Chrome afișează eticheta „Not secure" pe orice pagină încărcată prin HTTP, iar Firefox, Edge și Safari au comportamente similare. Dacă pagina conține un formular, avertismentul devine și mai vizibil în momentul în care vizitatorul începe să scrie.

Pune-te în locul clientului: caută un serviciu, intră pe două site-uri, unul are lacăt, celălalt are scris „Nesigur" lângă adresă. Chiar dacă nu știe ce înseamnă tehnic, alege instinctiv varianta care nu îl avertizează. Pentru un site de afaceri, eticheta „Nesigur" e echivalentul unei vitrine cu geamul spart: poate ai cele mai bune servicii, dar prima impresie te descalifică.

HTTPS și Google: efectul asupra pozițiilor în căutări

Google a confirmat încă din 2014 că HTTPS este un semnal de clasare. E un semnal mic luat izolat, dar în piețele locale competitive, unde site-urile candidate sunt altfel comparabile, orice semnal contează. Mai important decât semnalul direct sunt efectele indirecte:

• Versiuni duplicate: dacă site-ul răspunde și pe http și pe https fără redirecționare, Google vede două versiuni ale acelorași pagini și își împarte atenția între ele.
• Comportamentul vizitatorilor: un procent din cei care văd avertismentul pleacă imediat, iar revenirile rapide în rezultatele căutării nu ajută poziționarea.
• Funcționalități blocate: browserele moderne refuză pe HTTP funcții precum geolocalizarea, camera, microfonul sau notificările. Dacă site-ul tău are nevoie de ele, fără HTTPS pur și simplu nu merg.

Dacă site-ul tău nu apare în căutări, lipsa HTTPS e rareori singura cauză, dar e una dintre cele mai ușor de eliminat. Pentru context mai larg despre vizibilitatea locală, vezi pagina noastră despre web design în Timișoara.

GDPR: formularul de contact colectează date personale

Numele, adresa de email și telefonul din formularul de contact sunt date cu caracter personal. GDPR cere măsuri tehnice adecvate pentru protejarea lor, iar criptarea transmisiei este exemplul clasic de astfel de măsură. Un site care primește date personale prin conexiune necriptată e greu de apărat în fața unei plângeri sau a unui control: transmiți datele clienților într-un mod pe care industria îl consideră nesigur de ani buni.

Asta acoperă orice colectare, nu doar magazinele online: formular de programare la un cabinet, abonare la newsletter, cerere de ofertă, cont de utilizator. Dacă site-ul tău primește orice informație de la vizitatori, HTTPS nu e opțional.

Fără HTTPS nu poți încasa plăți online

Dacă vinzi sau plănuiești să vinzi online, discuția se închide repede: standardul PCI DSS, pe care îl respectă toți procesatorii de plăți cu cardul, cere criptarea datelor de card în tranzit. Procesatorii nu îți activează plățile pe un site fără HTTPS, iar browserele blochează API-urile de plată pe conexiuni nesigure. Chiar și când plata se face pe pagina procesatorului, drumul clientului până acolo trece prin site-ul tău, iar un coș de cumpărături marcat „Nesigur" se abandonează înainte de plată.

Cât costă: de la gratuit la certificate plătite

Pentru majoritatea site-urilor de prezentare și a magazinelor mici, răspunsul e simplu: zero lei. Let's Encrypt emite certificate gratuite, valabile 90 de zile, cu reînnoire automată configurată de panoul de hosting. Aproape toate firmele serioase de găzduire din România oferă activarea cu câteva click-uri sau o fac implicit la crearea contului.

Certificatele plătite au sens în situații specifice: certificatele wildcard acoperă toate subdomeniile cu o singură instalare, iar cele cu validare de organizație (OV/EV) includ verificarea firmei în certificat, ceva relevant mai ales pentru instituții financiare. Pentru un site obișnuit de afaceri, diferența practică față de Let's Encrypt este nesemnificativă: criptarea e la fel de puternică. Dacă cineva îți vinde „SSL premium" ca element obligatoriu la un site de prezentare, cere justificarea. La proiectele noastre de creare site certificatul SSL e inclus și configurat din prima zi, nu e un extra pe factură.

Cum activezi HTTPS corect, pas cu pas

1. Activează certificatul din panoul de hosting. Caută secțiunea SSL/TLS sau Let's Encrypt în cPanel, Plesk sau panoul furnizorului tău. Dacă nu o găsești, cere activarea la suportul firmei de hosting.
2. Forțează redirecționarea 301 de la http la https. Orice adresă veche http trebuie să trimită automat, permanent, către varianta https. Tot acum stabilești o singură formă canonică: cu www sau fără, nu ambele.
3. Repară conținutul mixt. Imaginile, scripturile și stilurile încărcate prin http:// pe o pagină https strică lacătul. Caută în cod adresele hardcodate cu http și schimbă-le în https sau în căi relative.
4. Actualizează linkurile interne și sitemap-ul. Meniuri, butoane, linkuri din articole și adresele din sitemap.xml trebuie să folosească https, ca să nu treci fiecare vizitator printr-o redirecționare inutilă.
5. Actualizează Google Search Console și profilurile externe. Adaugă proprietatea https, retrimite sitemap-ul și corectează linkul site-ului în Google Business Profile și pe rețelele sociale.
6. Verifică reînnoirea automată. Confirmă în panou că certificatul se reînnoiește singur. Un certificat expirat afișează un avertisment pe toată pagina, mai grav decât lipsa lui.

Greșeli frecvente după instalarea certificatului

• Certificat instalat, redirecționare lipsă: site-ul răspunde în continuare pe ambele variante, iar vizitatorii și Google ajung tot pe http. Instalarea fără redirecționare rezolvă doar jumătate de problemă.
• Conținut mixt ignorat: pagina e pe https, dar lacătul lipsește sau apare cu avertisment din cauza unei imagini încărcate prin http. Se vede des la site-uri mai vechi cu adrese scrise manual în conținut.
• Certificat expirat nesupravegheat: reînnoirea automată a eșuat în tăcere, iar site-ul afișează de zile întregi un ecran de avertizare pe care nimeni din firmă nu l-a observat.
• Subdomeniile uitate: site-ul principal are certificat, dar shop.domeniu.ro sau blog.domeniu.ro au rămas fără, și exact acolo se completează comenzile.
• Etichete canonice vechi: paginile https declară în continuare varianta http drept canonică, semnal contradictoriu pentru Google.

Cum verifici în 5 minute că totul e în regulă

Nu ai nevoie de cunoștințe tehnice pentru un test de bază. Deschide site-ul și verifică lacătul pe mai multe pagini, nu doar pe prima: pagina de contact, o pagină de serviciu, coșul dacă ai magazin. Tastează apoi manual varianta cu http:// și confirmă că ești dus automat pe https. Pentru un raport complet, introdu domeniul în testul gratuit SSL Server Test de la Qualys SSL Labs: primești o notă și lista problemelor de configurare, inclusiv data expirării certificatului. Dacă lacătul lipsește pe vreo pagină, apasă F12 în browser și deschide consola: avertismentele de „mixed content" îți arată exact ce resursă e încărcată nesigur.

Pune-ți o dată pe trimestru în calendar verificarea asta. Durează cinci minute și te scutește de situația în care afli de la un client că site-ul tău „dă eroare de securitate" de o săptămână.

Dacă site-ul tău e încă pe http, dacă lacătul apare cu avertisment sau dacă vrei pur și simplu o verificare făcută de cineva care face asta zilnic, trimite-ne adresa prin pagina de contact și îți spunem concret ce e de reparat. Design Creator Lab, agenție de web design din Timișoara, telefon 0770 129 502.