Ile kosztuje certyfikat SSL: Let’s Encrypt, DV, OV, EV i wildcard

Certyfikat SSL może nic nie kosztować: Let’s Encrypt i inne urzędy certyfikacji obsługujące ACME wydają certyfikaty DV za darmo, a większość hostingów włącza je jednym kliknięciem w panelu. U resellerów płatny certyfikat kosztuje od 5,99 USD rocznie za DV, od 19,99 USD za OV, od 39,99 USD za wildcard i od 45,99 USD za EV (sprawdzono 30.10.2026). Bezpośrednio w DigiCert OV zaczyna się od 218 USD, a EV od 344 USD. Szyfrowanie jest identyczne. Płacisz za weryfikację firmy, wsparcie, gwarancję i wygodę, a nie za „mocniejszą kłódkę”.

Ile kosztuje certyfikat SSL w 2026 roku: tabela cen

Ceny pochodzą z oficjalnych stron sprzedawców, sprawdzone 30.10.2026. Resellerzy, tacy jak Namecheap i GoGetSSL, sprzedają z rabatem certyfikaty tych samych urzędów certyfikacji (CA). Zakup bezpośrednio w Sectigo lub DigiCert jest droższy, ale daje konsolę dla firm i szersze wsparcie. Ceny resellerów za pierwszy rok to często promocje, dlatego porównuj ceny odnowienia.

Różnica między 19,99 USD za certyfikat OV u resellera a 218 USD bezpośrednio w DigiCert wynika z kanału sprzedaży (ceny hurtowe dla resellerów) i pakietu usług CA, a nie z jakości szyfrowania.

DV, OV, EV i wildcard: czym naprawdę się różnią

Typ klucza (RSA 2048, RSA 3072 lub ECDSA P-256) wybierasz przy generowaniu klucza, a wersja TLS zależy od ustawień serwera. Typ certyfikatu nie wpływa na żadne z nich. Różnią się tylko dwie rzeczy: co sprawdził urząd certyfikacji i jakie dane zawiera certyfikat.

• DV (Domain Validation): CA potwierdza tylko, że kontrolujesz domenę: przez plik na stronie, rekord DNS albo e-mail na adres typu admin@example.com. Certyfikat zawiera wyłącznie nazwę domeny.
• OV (Organization Validation): CA dodatkowo sprawdza, czy organizacja istnieje, korzystając z rejestrów państwowych, numeru telefonu z niezależnego katalogu i adresu. W polu Subject widać nazwę firmy (O=) i miasto.
• EV (Extended Validation): najbardziej rygorystyczna weryfikacja według wytycznych CA/Browser Forum: istnienie prawne i faktyczne, adres, umocowanie osoby składającej wniosek i podpisane formularze. Wytyczne nie dopuszczają certyfikatów EV typu wildcard.
• Wildcard: to zakres ochrony, a nie poziom weryfikacji. Certyfikat dla *.example.com obejmuje shop.example.com czy blog.example.com, ale nie a.b.example.com. Większość sprzedawców automatycznie dodaje samą domenę example.com, ale sprawdź opis produktu.
• Wielodomenowy (SAN): kilka różnych nazw w jednym certyfikacie, na przykład example.com i example.net.

Jeśli kupujesz EV dla „zielonego paska adresu”, to go już nie ma. Chrome 77 i Firefox 70 usunęły nazwę firmy z paska adresu w 2019 roku, a w 2023 roku Chrome 117 zastąpił nawet kłódkę neutralną ikoną ustawień („tune”). Dla zwykłego odwiedzającego strona z Let’s Encrypt i strona z certyfikatem EV za 344 USD wyglądają tak samo.

Darmowy Let’s Encrypt: co dostajesz i jakie są ograniczenia

Let’s Encrypt to non-profitowy urząd certyfikacji, który od 2015 roku wydaje certyfikaty DV ważne 90 dni. Hosting lub certbot odnawia je automatycznie, dlatego większość właścicieli stron w ogóle o tym nie myśli. Ograniczenia, które warto znać:

• Tylko DV. Bez OV i EV.
• Wildcard wymaga weryfikacji przez DNS (DNS-01). Niektóre panele radzą sobie z tym, gdy strefa DNS domeny jest na tym samym serwerze (dodaj alias *.example.com). Przy zewnętrznym DNS użyj acme.sh z API Twojego dostawcy DNS.
• Limity wydawania. Do 50 certyfikatów na zarejestrowaną domenę i 5 dla dokładnie tego samego zestawu nazw w ciągu 7 dni, do 100 nazw w jednym certyfikacie. Zwykła strona nigdy ich nie osiąga, ale wielokrotne reinstalacje podczas debugowania już tak.
• Brak gwarancji i indywidualnego wsparcia. Pomoc znajdziesz na forum społeczności.
• Stare urządzenia z Androidem. Od wygaśnięcia podpisu krzyżowego 30 września 2024 roku Android starszy niż 7.1.1 domyślnie nie ufa Let’s Encrypt. Dotyczy to aplikacji lub terminali na starych urządzeniach, a nie większości stron.
• Okres ważności się skraca. Opcjonalne certyfikaty 6-dniowe są już dostępne, a Let’s Encrypt planuje skrócić maksymalną ważność do 45 dni do lutego 2028 roku.

Inne darmowe opcje to ZeroSSL i Google Trust Services (również DV przez ACME) oraz Cloudflare. Cloudflare daje darmowy certyfikat brzegowy (edge), a do tego certyfikat Origin CA dla Twojego serwera, ważny nawet 15 lat, ale uznawany wyłącznie przez samo Cloudflare. Używaj trybu Full (strict): w trybie Flexible ruch między Cloudflare a hostingiem nie jest szyfrowany. Dlaczego sama kłódka nie wystarcza, wyjaśniamy w artykule o certyfikatach SSL na hostingu współdzielonym.

Dlaczego „roczny” certyfikat działa teraz tylko 200 dni

Wiosną 2025 roku CA/Browser Forum przyjęło ballot SC-081, który stopniowo skraca maksymalną ważność publicznych certyfikatów TLS i okres, przez jaki CA może ponownie wykorzystać weryfikację domeny. Dotyczy to każdego urzędu certyfikacji, płatnego i darmowego.

W przypadku OV i EV dane organizacji można od 15.03.2026 wykorzystywać ponownie najwyżej przez 398 dni (wcześniej 825). W praktyce:

• Płatny plan „na rok” to teraz subskrypcja: CA wydaje certyfikat najwyżej na 200 dni, potem wystawiasz go ponownie i instalujesz od nowa.
• „Zainstaluj raz w roku i zapomnij” już nie działa, a ręczna wymiana co 47 dni od 2029 roku jest nierealna: zautomatyzuj każdy certyfikat.
• Duże urzędy certyfikacji oferują już ACME dla płatnych certyfikatów, ale przed zakupem zapytaj o to resellera.

Zapomniane odnowienie to klasyczny powód, dla którego strona nagle przestaje się otwierać.

Kiedy płatny certyfikat SSL ma sens

Kup płatny certyfikat, jeśli:

• umowa, przetarg, bank partnerski lub dział bezpieczeństwa Twojej firmy wymaga OV, EV albo konkretnego CA.
• wśród Twoich klientów są stare urządzenia i systemy wbudowane (stary Android, terminale płatnicze, sprzęt przemysłowy), które nie ufają głównemu certyfikatowi Let’s Encrypt.
• certyfikat trafia na sprzęt bez klienta ACME (niektóre load balancery, bramki pocztowe, urządzenia sieciowe), gdzie ponowne wystawienie co 200 dni jest prostsze niż ręczne odnawianie co 60-90 dni.
• potrzebujesz wsparcia CA z określonym czasem reakcji lub kwoty gwarancji, której wymaga Twoja polityka ryzyka.

Darmowy Let’s Encrypt wystarczy, jeśli:

• prowadzisz bloga, landing page, stronę firmową, portfolio lub stronę firmy usługowej.
• prowadzisz sklep internetowy, w którym klienci wpisują dane karty na stronie operatora płatności. PCI DSS wymaga silnej kryptografii i ważnych certyfikatów, a nie OV czy EV. Co naprawdę liczy się w sklepie, opisujemy w poradniku o hostingu sklepu internetowego.
• zależy Ci na SEO. Google traktuje HTTPS jako sygnał rankingowy od 2014 roku, ale nigdy nie ogłosił żadnej przewagi OV ani EV.

Jak nie przepłacić za SSL

1. Sprawdź, co już daje Twój hosting. Jeśli panel wydaje Let’s Encrypt za darmo, typowa strona nie potrzebuje płatnego DV.
2. Porównuj ceny odnowienia. W Namecheap DV kosztuje 5,99 USD w pierwszym roku i 6,99 USD przy odnowieniu, a EV 45,99 i 55,19 USD.
3. Kupuj u resellera. Resellerzy sprzedają certyfikaty tych samych CA po cenach hurtowych: OV kosztuje 19,99 USD w Namecheap i od 32,80 USD w GoGetSSL, a bezpośrednio w DigiCert (Basic OV) 218 USD.
4. Przelicz opłacalność wildcarda. Siedem osobnych certyfikatów DV po 5,99 USD kosztuje 41,93 USD, a wildcard 39,99 USD. Przy 2-3 subdomenach taniej wyjdzie Let’s Encrypt lub certyfikat SAN. Wildcard ma sens, gdy subdomen jest dużo albo tworzą się automatycznie.
5. Sprawdź rekordy CAA. Jeśli Twój DNS ma rekord CAA tylko dla letsencrypt.org (niektóre panele dodają go automatycznie w strefach, które obsługują), żaden inny urząd certyfikacji nie wyda certyfikatu. Dodaj na przykład 0 issue "sectigo.com" lub 0 issue "digicert.com".

SSL to niewielka część budżetu strony. Aby zobaczyć pełny obraz, porównaj ceny naszych pakietów hostingowych i uważaj na ukryte opłaty u każdego dostawcy.

Jak zainstalować SSL na hostingu

Let’s Encrypt w panelu sterowania

Nazwy opcji różnią się między panelami sterowania hostingiem, ale kroki są podobne.

1. Upewnij się, że rekord A domeny (i AAAA, jeśli istnieje) wskazuje na serwer hostingu.
2. Otwórz ustawienia domeny, włącz SSL i wybierz darmowy certyfikat Let’s Encrypt.
3. Włącz automatyczne przekierowanie na HTTPS. HSTS włącz dopiero wtedy, gdy masz pewność, że strona stabilnie działa po HTTPS. Jeśli strona wpadnie potem w pętlę przekierowań, zajrzyj do poradnika o ERR_TOO_MANY_REDIRECTS.
4. Zapisz. Certyfikat pojawi się w ciągu minuty lub dwóch i będzie odnawiany automatycznie.

Płatny certyfikat: CSR, weryfikacja, instalacja

1. Wygeneruj klucz prywatny i żądanie podpisania certyfikatu (CSR). Część paneli generuje klucz i CSR w ustawieniach SSL domeny; przez SSH użyj polecenia poniżej.
2. Prześlij CSR i przejdź weryfikację domeny: e-mail na admin@ lub webmaster@, rekord CNAME lub TXT w DNS albo plik w /.well-known/pki-validation/. Dla OV i EV przygotuj dane rejestrowe firmy i jej numer telefonu.
3. Pobierz certyfikat (.crt) i łańcuch pośredni (CA bundle). Wklej certyfikat, klucz prywatny i łańcuch pośredni w odpowiednie pola w ustawieniach SSL domeny.
4. Sprawdź wynik poleceniami poniżej i ustaw przypomnienie o ponownym wystawieniu certyfikatu za około 180 dni.

# key and CSR for the domain
openssl req -new -newkey rsa:2048 -nodes -keyout example.com.key -out example.com.csr -subj "/CN=example.com"

# who the installed certificate was issued to, by whom, and its validity dates
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates

# which CAs are allowed in DNS
dig CAA example.com +short

Jeśli po instalacji przeglądarka nadal ostrzega, sprawdź, czy łańcuch nie jest niepełny, czy klucz pasuje i czy na stronie nie ma treści mieszanych. Ogólne wskazówki dotyczące zabezpieczeń znajdziesz w artykule o lukach w zabezpieczeniach serwera.

FAQ

Czy płatny certyfikat SSL jest bezpieczniejszy niż darmowy?

Nie. Szyfrowanie zależy od klucza i konfiguracji serwera, a nie od ceny. Różnica dotyczy weryfikacji tożsamości i usług dodatkowych.

Ile kosztuje SSL dla sklepu internetowego?

Zwykle nic: dane kart obsługuje operator płatności, więc Let’s Encrypt wystarczy, chyba że bank, umowa lub wewnętrzna polityka wymaga OV albo EV. W RichHost darmowy certyfikat SSL Let’s Encrypt jest wliczony w każdy plan hostingu.

Czy certyfikat wildcard można dostać za darmo?

Tak. Let’s Encrypt wydaje certyfikaty wildcard przez weryfikację DNS. W panelu hostingu zwykle działa to, gdy strefa DNS domeny jest na tym samym serwerze; w przeciwnym razie użyj acme.sh z API dostawcy DNS. Płatny wildcard kosztuje od około 40 USD rocznie.

Co się dzieje, gdy certyfikat wygaśnie?

Przeglądarki wyświetlają ostrzeżenie na całą stronę (w Chrome NET::ERR_CERT_DATE_INVALID) i wielu odwiedzających rezygnuje. Problemy mogą mieć też roboty wyszukiwarek i klienci API.

Podsumowanie

Dla bloga, strony firmowej czy sklepu internetowego koszt certyfikatu SSL wynosi zero: Let’s Encrypt szyfruje dokładnie tak samo jak płatne certyfikaty i sam się odnawia. Płać tylko wtedy, gdy masz konkretny wymóg: OV lub EV w umowie, zgodność ze starymi urządzeniami, wsparcie CA albo sprzęt bez ACME. Wszystkie pakiety hostingowe RichHost mają darmowy SSL Let’s Encrypt w panelu sterowania, a jeśli potrzebujesz OV lub EV, możesz zainstalować własny certyfikat w tych samych ustawieniach domeny.