Certyfikat SSL: darmowy Let's Encrypt czy płatny

Dla strony firmowej, bloga i małego sklepu wystarczy darmowy certyfikat Let’s Encrypt – szyfruje połączenie tak samo jak płatny certyfikat DV, a odnawia się automatycznie. Płatny certyfikat ma sens, gdy potrzebujesz weryfikacji firmy (OV lub EV), wsparcia od wystawcy albo gdy Twój serwer czy hosting nie obsługuje automatycznego wystawiania. Zanim zapłacisz za SSL dodany do koszyka hostingu, sprawdź, czy ten sam hosting nie daje darmowego Let’s Encrypt.

Opis opiera się na stronach Let’s Encrypt i CA/Browser Forum sprawdzonych 11.11.2026. Ceny pochodzą z profili dostawców w naszych danych – stan na 11.11.2026.

Co daje certyfikat i czym różnią się typy

Certyfikat potwierdza, że przeglądarka łączy się z serwerem właściwej domeny, i pozwala zaszyfrować ruch. Typy różnią się tym, co wystawca sprawdza przed wydaniem:

Szyfrowanie jest takie samo we wszystkich typach. Różnica to informacja o właścicielu zapisana w certyfikacie. Let’s Encrypt w FAQ pisze wprost, że nie planuje wydawać certyfikatów OV ani EV.

Jak sprawdzić, jaki certyfikat ma strona

W przeglądarce kliknij ikonę obok adresu i otwórz szczegóły certyfikatu: zobaczysz wystawcę, datę ważności i listę nazw, które obejmuje. Z terminala zrobisz to jedną komendą:

echo | openssl s_client -connect example.pl:443 -servername example.pl 2>/dev/null \
  | openssl x509 -noout -issuer -subject -enddate

Pole issuer pokazuje wystawcę, subject – dla kogo wydano certyfikat (przy OV i EV zawiera też nazwę organizacji), a notAfter – datę wygaśnięcia. Warto to sprawdzić u konkurencji albo na starej stronie, zanim uznasz, że „potrzebujesz takiego samego certyfikatu”.

Let’s Encrypt: co dostajesz za darmo

Według FAQ Let’s Encrypt:

• certyfikaty są bezpłatne,
• domyślny certyfikat jest ważny 90 dni; można wybrać certyfikaty krótkoterminowe, ważne 6 dni,
• certyfikaty wildcard (*.example.pl) są dostępne, ale tylko przez weryfikację DNS-01,
• Let’s Encrypt nie udziela bezpośredniego wsparcia – pomoc daje forum społeczności i dokumentacja.

Krótki okres ważności nie jest problemem, jeśli odnowienie jest automatyczne. Na hostingu robi to panel, na VPS-ie certbot lub inny klient ACME. Konfigurację z wildcardem i typowe błędy opisujemy w poradniku Certbot i Let’s Encrypt. Darmowy certyfikat dla domeny daje też Cloudflare w planie Free (Universal SSL) – zobacz darmowe plany.

Przy porównaniu ofert niżej sprawdź, czy wybrany pakiet ma Let’s Encrypt w cenie.

Płatne certyfikaty też będą krótsze

Częsty argument za płatnym certyfikatem to „kupuję raz na rok i mam spokój”. To przestaje być prawdą. CA/Browser Forum, czyli organizacja wystawców i twórców przeglądarek, przyjęło harmonogram skracania maksymalnej ważności certyfikatów. Według aktualnych wymagań bazowych (wersja 2.3.1):

• od 15 marca 2026 – maksymalnie 200 dni,
• od 15 marca 2027 – maksymalnie 100 dni,
• od 15 marca 2029 – maksymalnie 47 dni.

Dotyczy to wszystkich publicznych certyfikatów TLS, także płatnych. Płacąc za „certyfikat na rok”, płacisz w praktyce za usługę, w której certyfikat trzeba wymieniać kilka razy w roku. Bez automatyzacji to więcej ręcznej pracy niż przy darmowym Let’s Encrypt.

Let’s Encrypt też skraca swoje certyfikaty – harmonogram opisujemy w poradniku o certbocie.

Kiedy hosting dolicza opłatę za SSL

Część dostawców dodaje płatny certyfikat do koszyka domyślnie. Przykład z naszych danych: w cyber_Folks do zamówienia hostingu WWW domyślnie trafia certyfikat easy_SSL za 29 zł netto rocznie. Przy pakiecie cyber_START! (29 zł netto za pierwsze 3 miesiące, potem 279 zł netto za rok) certyfikat podnosi koszt pierwszego zamówienia o 29 zł netto, czyli dwukrotnie.

Certyfikaty SSL sprzedają też m.in. home.pl, nazwa.pl, Zenbox, Hostido, Domeny.tv, AfterMarket.pl i IQ.pl – w naszych danych nie zapisaliśmy ich cen, więc sprawdź je w cenniku przed zakupem. Z kolei Progreso wymienia darmowe certyfikaty Let’s Encrypt wśród zalet oferty.

Policz to na dwóch latach. Jeśli hosting kosztuje 279 zł netto rocznie po promocji, a certyfikat 29 zł netto rocznie, to przez dwa lata SSL dokłada 58 zł netto do rachunku – za coś, co przy obsłudze Let’s Encrypt masz w cenie. To niewielka kwota, ale sprawdź w panelu, czy taki dodatek nie odnawia się automatycznie razem z pakietem.

Przy wyborze hostingu zadaj trzy pytania:

1. Czy darmowy Let’s Encrypt jest dostępny i odnawia się automatycznie?
2. Czy płatny certyfikat jest w koszyku domyślnie i czy można go usunąć?
3. Czy certyfikat obejmuje także subdomeny, których używasz (np. www, sklep)?

Kiedy płatny certyfikat ma sens

• Potrzebujesz OV lub EV. Wymaga tego przetarg, umowa z klientem albo wewnętrzna polityka bezpieczeństwa. Let’s Encrypt tego nie da.
• Potrzebujesz wsparcia wystawcy. Let’s Encrypt nie udziela bezpośredniego wsparcia; u płatnego wystawcy sprawdź przed zakupem, co obejmuje jego pomoc techniczna.
• Serwer nie obsługuje ACME. Starsze urządzenia, niektóre panele lub systemy, w których certyfikat wgrywasz ręcznie. Przy skracających się okresach ważności to jednak sygnał, żeby zaplanować zmianę systemu, a nie tylko kupić certyfikat.
• Wildcard bez dostępu do API DNS. Let’s Encrypt wymaga DNS-01, czyli automatycznej zmiany rekordu TXT. Jeśli Twój DNS nie ma API, możesz delegować _acme-challenge przez CNAME do strefy, która API ma – zanim kupisz płatny wildcard, sprawdź tę drogę.

Typowe błędy

• Certyfikat bez www. Upewnij się, że obejmuje obie wersje adresu, na które prowadzą linki.
• Mieszana treść. Strona po HTTPS ładuje obrazy lub skrypty po HTTP i przeglądarka je blokuje. Popraw adresy w bazie i motywie.
• Brak przekierowania z HTTP na HTTPS. Ustaw jedno przekierowanie 301 na serwerze albo w panelu hostingu.
• Certyfikat po przeprowadzce. Po zmianie hostingu lub serwera certyfikat trzeba wystawić na nowym miejscu, a weryfikacja HTTP-01 zadziała dopiero wtedy, gdy domena wskazuje już nowy adres IP. Zaplanuj to razem ze zmianą DNS, żeby strona nie działała przez kilka godzin z błędem certyfikatu.
• Rekord CAA. Jeśli masz go w DNS, musi zezwalać na wystawcę, którego używasz.
• Płatny certyfikat wygasł po cichu. Ustaw zewnętrzny monitoring daty wygaśnięcia – opisujemy to w poradniku Uptime Kuma na VPS.

Koszt certyfikatu w budżecie strony uwzględniamy w poradniku Hosting pod WordPressa, a zestawienie pakietów hostingu znajdziesz w rankingu hostingu.

Lista kontrolna

• Sprawdź, czy hosting ma darmowy Let’s Encrypt z automatycznym odnowieniem.
• Usuń z koszyka płatny certyfikat, jeśli nie potrzebujesz OV lub EV.
• Upewnij się, że certyfikat obejmuje domenę z www i używane subdomeny.
• Przy wildcardzie zaplanuj weryfikację DNS-01.
• Ustaw przekierowanie 301 z HTTP na HTTPS i popraw mieszaną treść.
• Sprawdź rekord CAA w DNS.
• Włącz zewnętrzny alert przed wygaśnięciem certyfikatu.