Un certificat SSL face ca legătura dintre vizitator și site-ul tău să fie criptată (HTTPS), iar fără el browserele îți afișează site-ul ca „nesigur”. Îți explicăm ce este certificatul, diferența dintre DV, OV și EV, cum muți corect un site pe HTTPS și de ce certificatele au, din 2026, o durată de valabilitate tot mai scurtă.
Ce face, de fapt, un certificat SSL
Denumirea corectă azi este TLS, dar toată lumea îi spune în continuare „SSL”. Certificatul face două lucruri:
- Criptează datele dintre browser și server: parole, formulare de contact, date de comandă. Nimeni de pe aceeași rețea Wi-Fi nu le poate citi sau modifica.
- Confirmă identitatea domeniului. O autoritate de certificare (CA) a verificat că cel care a cerut certificatul controlează într-adevăr domeniul.
Când totul e în regulă, adresa începe cu https://, iar browserul nu afișează niciun avertisment.
DV, OV sau EV: ce tip îți trebuie
| Tip | Ce se verifică | Cât durează emiterea | Potrivit pentru |
|---|---|---|---|
| DV (Domain Validation) | Doar controlul asupra domeniului | Minute | Bloguri, site-uri de prezentare, majoritatea magazinelor mici |
| OV (Organization Validation) | Domeniul și existența firmei | Câteva zile | Firme care vor numele organizației trecut în certificat |
| EV (Extended Validation) | Verificare amănunțită a firmei | Zile sau săptămâni | Bănci, instituții, cerințe contractuale |
Criptarea e la fel de puternică la toate trei. Diferența e doar cât de mult a fost verificat proprietarul. Browserele moderne nu mai afișează numele firmei în bara de adrese pentru EV, așa că vizitatorul obișnuit nu vede diferența. Pentru marea majoritate a site-urilor, un certificat DV e suficient. Ce tip de certificat ai la dispoziție și dacă e inclus depinde de pachet, așa că verifică ce include pachetul tău sau scrie-ne.
De ce afișează browserul avertismente
- Site fără HTTPS: Chrome marchează paginile HTTP ca „Nesigur”. Google a anunțat că din Chrome 154 (programat pentru octombrie 2026) opțiunea „Folosește întotdeauna conexiuni securizate” va fi activă implicit. Browserul va încerca HTTPS și va cere confirmare înainte să deschidă un site public doar pe HTTP (anunțul Google).
- Certificat expirat: cea mai des întâlnită problemă. Apare o pagină de eroare pe tot ecranul, iar mulți vizitatori pleacă.
- Nume greșit: certificatul e pentru
firmata.ro, dar site-ul se deschide pewww.firmata.rosau pe alt subdomeniu care nu e inclus. - Conținut mixt: pagina e pe HTTPS, dar încarcă imagini, scripturi sau fonturi prin
http://. Browserul blochează resursele sau elimină lacătul.
Cât timp e valabil un certificat (schimbări 2026–2029)
CA/Browser Forum, organismul în care autoritățile de certificare și producătorii de browsere stabilesc regulile, a adoptat în aprilie 2025 votul SC-081. Acesta scurtează treptat durata maximă a certificatelor publice:
| Certificate emise începând cu | Valabilitate maximă |
|---|---|
| înainte de 15 martie 2026 | 398 de zile |
| 15 martie 2026 (în vigoare acum) | 200 de zile |
| 15 martie 2027 | 100 de zile |
| 15 martie 2029 | 47 de zile |
Let's Encrypt, cel mai folosit emitent gratuit, emite deja certificate de 90 de zile și a anunțat că va ajunge treptat la 45 de zile până în 2028 (detalii). Concluzia practică: reînnoirea manuală nu mai e o variantă. Folosește reînnoirea automată din panoul de găzduire (de exemplu, AutoSSL în cPanel) sau un client ACME. Dacă ai cumpărat un certificat comercial, verifică dacă furnizorul îl reemite automat.
Cum muți un site pe HTTPS, pas cu pas
- Fă o copie de siguranță a fișierelor și a bazei de date. Tu ești responsabil de ea.
- Instalează certificatul din panoul de control al găzduirii, pentru
firmata.roșiwww.firmata.ro. Deschidehttps://firmata.roși verifică lacătul. - Actualizează adresa în aplicație. În WordPress: Setări → Generale, apoi schimbă „Adresa WordPress” și „Adresa site-ului” în
https://. Dacă câmpurile sunt blocate, ele sunt definite înwp-config.php(WP_HOME,WP_SITEURL). - Înlocuiește linkurile vechi din conținut. Cu WP-CLI:
wp search-replace 'http://firmata.ro' 'https://firmata.ro'(rulează întâi cu--dry-run), sau cu un plugin de căutare și înlocuire. - Pune redirecționare 301 de la HTTP la HTTPS. Unele panouri au o opțiune „Force HTTPS”. Pe Apache, în
.htaccess:RewriteEngine OnRewriteCond %{HTTPS} offRewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301] - Repară conținutul mixt. Deschide consola browserului (F12 → Console) și caută avertismentele „Mixed Content”. Corectează temele sau pluginurile care au adrese
http://scrise direct în cod. - Anunță motoarele de căutare. Adaugă varianta
https://în Google Search Console și actualizează adresa sitemap-ului. - Abia după ce totul merge poți activa HSTS. Fii atent: odată activat, browserele vor refuza HTTP pentru domeniu pe toată durata setată.
Dacă folosești Cloudflare sau alt proxy în fața site-ului, setează modul SSL „Full (strict)”. Așa eviți buclele de redirecționare și conexiunea necriptată între proxy și server.
Checklist
- Certificat valabil pentru domeniu și pentru
www. - Reînnoire automată activă. Verifică data expirării măcar o dată la câteva luni.
- Redirecționare 301 de la HTTP la HTTPS, fără bucle.
- Adresele din WordPress și din conținut actualizate la
https://. - Niciun avertisment „Mixed Content” în consolă.
- Site-ul HTTPS adăugat în Google Search Console.
Vrei să afli ce opțiuni de certificat SSL au pachetele de găzduire web sau găzduire WordPress? Scrie-ne la [email protected].
