SSL certifikáty vysvětleno: typy, ceny a důvody, proč je potřebujete

SSL certifikát je digitální pověření, které ověřuje identitu webu a umožňuje šifrovanou komunikaci mezi prohlížečem návštěvníka a webovým serverem. Když navštívíte web s platným SSL certifikátem, prohlížeč zobrazí v adresním řádku ikonu zámku a URL začíná HTTPS místo HTTP. Tento vizuální indikátor říká návštěvníkům, že jejich připojení je zabezpečené a že jakákoli data, která přenášejí, přihlašovací údaje, platební informace, osobní údaje, jsou chráněna před zachycením třetími stranami.

SSL znamená Secure Sockets Layer, ačkoli se technologie od svého původního pojetí výrazně vyvinula. Moderní implementace používají TLS (Transport Layer Security), což je nástupce SSL. Termíny SSL a TLS se v praxi často používají zaměnitelně, a když lidé říkají „SSL certifikát“, téměř vždy tím myslí certifikát, který podporuje TLS 1.2 nebo TLS 1.3. Rozdíl je důležitý technicky, ale ne prakticky, důležité je, že váš web šifruje připojení a ověřuje svou identitu vůči návštěvníkům.

Kromě šifrování SSL certifikát vytváří důvěru. Certifikační autorita (CA) ověří kontrolu žadatele o certifikát nad doménou (a v některých případech i identitu organizace) před vydáním certifikátu. Když prohlížeč narazí na certifikát, zkontroluje podpis CA proti svému vestavěnému seznamu důvěryhodných autorit. Pokud je podpis platný a certifikát nevypršel, prohlížeč naváže zabezpečené připojení bez varování uživatele. Pokud je něco špatně, vypršelý certifikát, neshoda domény, nedůvěryhodná CA, prohlížeč zobrazí výrazné varování, které většinu návštěvníků odežene.

Šifrování SSL kombinuje asymetrickou a symetrickou kryptografii k zabezpečení dat při přenosu. Proces začíná handshake: když se prohlížeč připojí k HTTPS stránce, server předloží svůj SSL certifikát, který obsahuje veřejný klíč serveru. Prohlížeč ověří platnost certifikátu, poté vygeneruje jedinečný relanční klíč, zašifruje jej veřejným klíčem serveru a odešle zpět. Pouze odpovídající soukromý klíč serveru dokáže tuto zprávu dešifrovat, což zajišťuje, že žádný odposlouchávající nemůže relanční klíč zachytit.

Jakmile obě strany mají relanční klíč, přejdou pro zbytek spojení na symetrické šifrování. Symetrické šifrování je řádově rychlejší než asymetrické, což je praktické pro šifrování velkých objemů dat vyměňovaných během typické webové relace. Každá část dat, HTML stránky, obrázky, odeslané formuláře, odpovědi API, je před přenosem zašifrována a po přijetí dešifrována. I když útočník provoz zachytí, bez relančního klíče vidí pouze zašifrovaný nesmysl.

TLS 1.3, nejnovější verze protokolu, zjednodušil proces handshake tak, že vyžaduje pouze jeden round trip mezi prohlížečem a serverem, oproti dvěma v TLS 1.2. Tím se režie latence při navazování zabezpečeného spojení snížila přibližně o 30 až 50 milisekund. TLS 1.3 také odstranil starší, slabší šifrovací sady, které byly v TLS 1.2 stále povoleny, a odstranil tak celé kategorie kryptografických útoků. Ve společnosti GRADAX všechny naše hostingové prostředí standardně používají TLS 1.3 s fallbackem na TLS 1.2 pro malé procento klientů, jejichž návštěvníci používají starší prohlížeče, které dosud nejnovější standard nepodporují.

Certifikáty Domain Validation (DV) jsou nejzákladnějším typem. Certifikační autorita ověřuje pouze to, že žadatel kontroluje doménové jméno, obvykle prostřednictvím DNS záznamu nebo e-mailové výzvy. DV certifikáty se vydávají během několika minut, stojí od nuly do několika dolarů ročně a poskytují stejnou úroveň šifrování jako dražší typy certifikátů. Jsou vhodné pro blogy, marketingové weby, portfolia a jakékoli stránky, jejichž hlavním cílem je šifrování spojení, nikoli prokazování identity organizace.

Certifikáty Organization Validation (OV) vyžadují, aby certifikační autorita ověřila právní existenci a identitu organizace žádající o certifikát. Žadatel musí předložit dokumenty o registraci podnikání a certifikační autorita může organizaci kontaktovat telefonicky za účelem potvrzení žádosti. Vydání OV certifikátů obvykle trvá jeden až tři pracovní dny a stojí mezi 50 a 200 eury ročně. Když návštěvník klikne na ikonu zámku na stránce zabezpečené OV certifikátem, v podrobnostech certifikátu se zobrazí ověřený název organizace, což poskytuje další vrstvu důvěry. OV certifikáty doporučujeme pro firemní weby, e-shopy a jakékoli stránky, které zpracovávají citlivé údaje zákazníků.

Certifikáty Extended Validation (EV) zahrnují nejpřísnější proces ověřování. Certifikační autorita kontroluje právní, fyzickou a provozní existenci organizace prostřednictvím několika nezávislých zdrojů. Vydání EV certifikátů trvá pět až deset pracovních dnů a stojí 200 až 1 000 eur ročně. Historicky EV certifikáty spouštěly v prohlížečích zelený adresní řádek, ale většina moderních prohlížečů toto vizuální rozlišení zrušila. Dnes je praktický přínos EV oproti OV pro většinu firem omezený a obecně doporučujeme OV certifikáty jako nejlepší rovnováhu mezi důvěrou a náklady, pokud regulační požadavky nenařizují EV.

Let's Encrypt způsobil revoluci v oblasti SSL tím, že nabízí bezplatné DV certifikáty s automatizovaným vydáváním a obnovou. Není v tom žádný háček: certifikáty Let's Encrypt poskytují stejnou sílu šifrování jako placené DV certifikáty a důvěřují jim všechny hlavní prohlížeče. Platí 90 dní a jsou navrženy tak, aby se automaticky obnovovaly pomocí protokolu ACME. Pro většinu webů je certifikát Let's Encrypt zcela dostačující a neexistuje žádný bezpečnostní důvod platit za DV certifikát.

Placené certifikáty nabízejí výhody ve specifických scénářích. Wildcard certifikáty, které pokrývají všechny subdomény domény (např. *.example.com), jsou k dispozici od Let's Encrypt, ale multi-domain (SAN) certifikáty pokrývající více nesouvisejících domén jsou flexibilnější od komerčních certifikačních autorit. Placené certifikáty také zahrnují záruční krytí, pokud certifikační autorita nesprávně vydá certifikát a uživatel v důsledku toho utrpí finanční ztrátu, záruka poskytuje kompenzaci. Záruky se pohybují od 10 000 do více než 1 milionu eur v závislosti na typu certifikátu a poskytovateli.

Nejpraktičtějším důvodem pro volbu placeného certifikátu je situace, kdy potřebujete ověření OV nebo EV, které Let's Encrypt nenabízí. Pokud vaše firma zpracovává finanční transakce, zpracovává zdravotnické údaje nebo působí v regulovaném odvětví, OV certifikát poskytuje ověření organizace, které DV certifikát nemůže. Naše služba správy SSL certifikátů ve společnosti GRADAX se stará o bezplatné i placené certifikáty, automaticky zajišťuje vhodný typ na základě požadavků klienta a zajišťuje, že obnovy probíhají automaticky před vypršením platnosti.

Google používá HTTPS jako signál pro hodnocení od roku 2014 a jeho význam neustále roste. Samotné SSL sice web nevystřelí na vrchol výsledků vyhledávání, ale jeho absence jej může brzdit. Vlastní data Googlu ukazují, že více než 95 % výsledků na první stránce používá HTTPS. Weby bez SSL jsou stále více penalizovány ne prostřednictvím explicitního snížení pozice ve vyhledávání, ale prostřednictvím varování prohlížeče, která zvyšují míru opuštění, což nepřímo poškozuje pozice ve vyhledávání.

Dopad přesahuje rámec algoritmu Googlu. Prohlížeče Chrome, Firefox, Safari a Edge zobrazují varovné zprávy, když uživatelé odesílají formuláře na HTTP stránkách, a Chrome označuje všechny HTTP stránky jako „Nezabezpečeno“ v adresním řádku. Tato varování narušují důvěru uživatelů a zvyšují míru opuštění, zejména na stránkách, které vyžadují jakýkoli druh zadání dat uživatelem. Pro účely technického SEO je HTTPS základním požadavkem, nikoli optimalizací. Jakýkoli SEO audit, který identifikuje HTTP stránky, by je měl považovat za kritické problémy vyžadující okamžité řešení.

Migrace z HTTP na HTTPS vyžaduje pečlivé plánování, aby se zachovaly stávající pozice ve vyhledávání. Všechny HTTP URL musí přesměrovávat na své HTTPS ekvivalenty pomocí trvalých přesměrování 301. Interní odkazy, kanonické značky, záznamy v sitemapě a strukturovaná data musí být aktualizovány tak, aby odkazovaly na HTTPS URL. Vlastnost v Google Search Console musí být překonfigurována pro HTTPS verzi webu. Selhání v kterémkoli z těchto kroků může vést k dočasnému poklesu pozic, problémům s duplicitním obsahem nebo ztrátě nahromaděné hodnoty odkazů. Migrace z HTTP na HTTPS pro naše klienty běžně provádíme a máme zdokumentovaný proces, který během přechodu zachovává výkon ve vyhledávání.

Povědomí spotřebitelů o online bezpečnosti v posledních letech dramaticky vzrostlo. Průzkum z roku 2025 provedený významnou e-commerce platformou zjistil, že 84 % online nakupujících by opustilo nákup, pokud by si všimli, že webu chybí zabezpečené spojení. Ikona zámku se stala vizuální zkratkou pro bezpečnost a její absence okamžitě vzbuzuje podezření. Pro firmy, které závisí na online transakcích, konverzích nebo získávání kontaktů, není SSL technickým vylepšením, ale požadavkem na příjmy.

Důvěra sahá za hranice prvotního načtení stránky. SSL chrání každou interakci v průběhu celé zákaznické cesty: prohlížení produktových stránek, vkládání položek do košíku, zadávání doručovacích adres, odesílání platebních údajů a přístup k nastavení účtu. Bez SSL může být kterákoli z těchto interakcí zachycena útočníkem ve stejné síti, což je obzvláště akutní riziko na veřejných Wi-Fi sítích v kavárnách, na letištích a v hotelích. Šifrováním celé relace SSL zajišťuje, že data zákazníků zůstanou v soukromí bez ohledu na síťové prostředí.

Pro B2B společnosti je SSL často požadavkem při zadávání zakázek. Podnikoví kupující provádějící hodnocení dodavatelů rutinně kontrolují HTTPS a mohou vyřadit dodavatele, jejichž webové stránky nesplňují základní standardy zabezpečení webu. Vládní a zdravotnické organizace podléhají předpisům, které nařizují šifrovaný přenos dat, což ze SSL činí zákonný požadavek na soulad, nikoli dobrovolnou investici. I když vaši současní zákazníci SSL výslovně nevyžadují, příští smlouva, o kterou se budete ucházet, ho vyžadovat může.

Instalace SSL certifikátu zahrnuje tři kroky: vygenerování žádosti o podpis certifikátu (CSR) na vašem serveru, její odeslání certifikační autoritě a instalaci vydaného certifikátu spolu s mezilehlými certifikáty certifikační autority. Na většině moderních webových serverů (Nginx, Apache, Caddy) konfigurace vyžaduje zadání cesty k souboru certifikátu, cesty k soukromému klíči a případných mezilehlých certifikátů. Nesprávná konfigurace řetězce certifikátů je nejčastější chybou při instalaci a vede k tomu, že prohlížeče varují, že připojení není zcela zabezpečené.

Automatizovaná správa certifikátů odstranila většinu ruční zátěže. Certbot, oficiální klient Let's Encrypt, zvládá generování CSR, ověření domény, instalaci certifikátu i obnovení jediným příkazem. U serverů běžících za reverzními proxy nebo load balancery umožňuje metoda výzvy ACME DNS-01 vydání certifikátu bez jakýchkoli změn v konfiguraci webového serveru. V GRADAX naše hostingová platforma spravuje SSL certifikáty zcela automaticky, klienti nikdy nemusí generovat CSR, konfigurovat webové servery ani se starat o termíny obnovení.

Obnova certifikátu je krok, který se u ručně spravovaných serverů nejčastěji zanedbává. DV certifikáty od Let's Encrypt vyprší každých 90 dní; placené certifikáty obvykle vyprší jednou ročně. Vypršený certifikát spustí okamžité varování prohlížeče přes celou obrazovku, které většině návštěvníků zablokuje přístup na web. Viděli jsme firmy, které přišly o tisíce eur na tržbách kvůli jedinému dni s vypršeným SSL. Automatická obnova nastavená tak, aby se spustila alespoň 30 dní před vypršením, toto riziko zcela eliminuje. Pokud certifikáty spravujete ručně, nastavte si připomínky v kalendáři 60, 30 a 7 dní před vypršením a ověřte, že váš proces obnovy funguje, než nastane termín.

Smíšený obsah je nejrozšířenější chybou u SSL. Nastává, když stránka HTTPS načítá zdroje (obrázky, skripty, styly, fonty) přes HTTP. Prohlížeče část smíšeného obsahu blokují a před zbytkem varují, což narušuje funkčnost stránky a podkopává zabezpečení šifrovaného připojení. Oprava smíšeného obsahu vyžaduje aktualizaci všech URL zdrojů v HTML, CSS a JavaScriptu na HTTPS nebo protokolově relativní URL. Hlavička zásad zabezpečení obsahu (CSP) s direktivou upgrade-insecure-requests dokáže okrajové případy vyřešit automaticky.

Neúplné řetězce certifikátů způsobují varování o důvěryhodnosti, i když je primární certifikát platný. Každý SSL certifikát je podepsán mezilehlým certifikátem certifikační autority, který je zase podepsán kořenovým certifikátem certifikační autority, jemuž prohlížeče důvěřují implicitně. Pokud v konfiguraci serveru chybí mezilehlý certifikát, některé prohlížeče dokážou mezeru vyplnit automatickým načtením, jiné však ne, což vede k nekonzistentním varováním napříč různými prohlížeči a zařízeními. Vždy instalujte celý řetězec certifikátů a po instalaci ověřte správnou konfiguraci pomocí nástroje pro testování SSL.

Opomenutí přesměrování HTTP na HTTPS je časté přehlédnutí, které ponechává web dostupný přes oba protokoly. Bez přesměrování dorazí někteří návštěvníci přes odkazy HTTP, záložky nebo přímým zadáním URL a nikdy nevyužijí šifrování SSL. Vyhledávače mohou indexovat verze HTTP i HTTPS, což vytváří problém s duplicitním obsahem. Řešením je přesměrování 301 na úrovni serveru z HTTP na HTTPS pro všechny URL v kombinaci s hlavičkou HSTS (HTTP Strict Transport Security), která prohlížečům nařizuje vždy používat HTTPS pro budoucí návštěvy. Předběžné načtení HSTS jde ještě dál a zaregistruje vaši doménu do vestavěného seznamu prohlížečů pouze s HTTPS, čímž zajistí, že i první návštěva použije HTTPS. Kontaktujte náš tým, pokud potřebujete pomoc s auditem konfigurace SSL nebo s migrací na HTTPS.