Jak dodać SSL na WordPress? Poradnik krok po kroku

Dodanie SSL do WordPressa wymaga dwóch działań: najpierw certyfikat musi być aktywny na serwerze, a następnie WordPress trzeba przełączyć z HTTP na HTTPS. Najlepiej zrobić to ręcznie, z kopią zapasową, przekierowaniem 301 i jednorazową aktualizacją adresów w bazie danych.

Zanim zaczniesz – certyfikat i kopia zapasowa

Ten poradnik zakłada, że certyfikat SSL, na przykład Let’s Encrypt, jest już zainstalowany i aktywny dla domeny w panelu hostingu. Sam certyfikat na serwerze nie zmienia jeszcze adresów WordPressa ani nie przekierowuje użytkowników z wersji HTTP.

Przed zmianą ustawień i ingerencją w bazę danych wykonaj pełny backup:

• Baza danych – wyeksportuj ją z panelu hostingu, phpMyAdmina albo używanej wtyczki do kopii zapasowych.
• Pliki WordPressa – skopiuj katalog witryny, w tym plik wp-config.php i .htaccess.
• Kopia poza serwerem – przechowuj przynajmniej jedną kopię na komputerze lub w innym bezpiecznym miejscu.
• Dostęp administracyjny – przygotuj dane do panelu WordPressa, hostingu, FTP lub menedżera plików.

Backup jest szczególnie ważny przed masową podmianą adresów w bazie. Literówka w domenie lub niewłaściwy zakres zamiany może spowodować błędy witryny.

Jak ręcznie dodać SSL na WordPressie?

Metoda ręczna wymaga kilku czynności, ale po zakończeniu nie uzależnia działania strony od dodatkowej wtyczki. Zwykle jest też korzystniejsza dla wydajności, ponieważ przekierowanie i zmiany adresów wykonują serwer oraz WordPress, a nie kod uruchamiany przy każdym ładowaniu strony.

1. Zmień adresy w ustawieniach WordPressa – zaloguj się do panelu i przejdź do Ustawienia → Ogólne. W polach „Adres WordPressa (URL)” oraz „Adres witryny (URL)” zmień początek adresu z http:// na https://. Sprawdź również domenę, obecność lub brak www oraz ewentualny podkatalog. Zapisz zmiany. WordPress może wylogować Cię z panelu, dlatego zaloguj się ponownie.
2. Odśwież bezpośrednie odnośniki – przejdź do Ustawienia → Bezpośrednie odnośniki i kliknij „Zapisz zmiany”. Nie musisz zmieniać struktury linków. Operacja odświeża reguły WordPressa i może naprawić część błędów 404.
3. Dodaj przekierowanie 301 w pliku .htaccess – połącz się z hostingiem przez FTP lub menedżer plików i odszukaj .htaccess w katalogu instalacji WordPressa. Zrób kopię tego pliku, a następnie dodaj reguły na początku, przed sekcją # BEGIN WordPress:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>

Przekierowanie 301 przenosi użytkownika i roboty z każdego adresu HTTP na jego odpowiednik HTTPS, zachowując ścieżkę oraz parametry adresu. Jeśli używasz panelu takiego jak DirectAdmin, przekierowanie może być dostępne jako opcja „Wymuś przekierowanie na HTTPS”. Nie włączaj równocześnie kilku różnych mechanizmów przekierowania bez sprawdzenia ich konfiguracji, ponieważ mogą powstać pętle.

4. Zamień stare adresy w bazie danych – zainstaluj tymczasowo wtyczkę Better Search Replace i przejdź do Narzędzia → Better Search Replace. W polu „Search for” wpisz pełny adres z http://, a w „Replace with” jego wersję z https://. Zaznacz wszystkie tabele.
5. Najpierw wykonaj test – pozostaw zaznaczoną opcję „Run as dry run?” i uruchom wyszukiwanie. Sprawdź, czy liczba znalezionych wystąpień oraz domena są prawidłowe. Uważaj na wariant z www, ponieważ http://domena.pl i http://www.domena.pl mogą występować niezależnie.
6. Wykonaj podmianę – po ponownym sprawdzeniu adresów odznacz „Run as dry run?” i uruchom „Run Search/Replace”. Po zakończeniu wyłącz i usuń Better Search Replace. Ta wtyczka jest potrzebna do jednorazowej operacji, a pozostawienie jej aktywnej nie daje korzyści po zakończeniu podmiany.

Nie uruchamiaj masowej zamiany bez aktualnego backupu bazy. W przypadku stron korzystających z Elementora sprawdź również Elementor → Narzędzia → Zastąp adres URL i zamień zapisany adres HTTP na HTTPS. Po zmianach wyczyść cache WordPressa, wtyczki cache oraz serwera.

Jak włączyć SSL za pomocą Really Simple SSL?

Really Simple SSL jest prostszą alternatywą dla osób, które nie chcą edytować pliku .htaccess ani samodzielnie aktualizować adresów. Przed instalacją upewnij się jednak, że certyfikat działa na serwerze. Wtyczka nie naprawi certyfikatu, który jest nieaktywny, źle przypisany do domeny albo wygasł.

1. Zainstaluj wtyczkę – w panelu WordPressa przejdź do Wtyczki → Dodaj nową, wyszukaj Really Simple SSL, zainstaluj ją i aktywuj.
2. Sprawdź komunikaty konfiguratora – jeśli wtyczka zgłasza problem z certyfikatem, zatrzymaj konfigurację i sprawdź ustawienia domeny u hostingodawcy.
3. Uruchom HTTPS – skorzystaj z opcji aktywacji SSL dostępnej w panelu wtyczki, a następnie zaloguj się ponownie, jeśli WordPress wyloguje Cię po zmianie adresu.
4. Sprawdź odnośniki i błędy – otwórz stronę w trybie prywatnym, odśwież bezpośrednie odnośniki i wyczyść pamięć podręczną.

Zaletą tego rozwiązania jest szybkość wdrożenia. Wadą jest dodatkowa warstwa działania, która może wpływać na wydajność, szczególnie gdy wtyczka musi przy każdym żądaniu obsługiwać stare adresy lub mieszaną zawartość. Po poprawnym, ręcznym uporządkowaniu adresów możesz rozważyć przejście na konfigurację bez tej wtyczki.

Mixed Content – czym jest i jak go naprawić?

Mixed Content, czyli mieszana zawartość, występuje wtedy, gdy strona otwiera się przez HTTPS, ale część zasobów nadal jest pobierana przez HTTP. Mogą to być obrazki, arkusze stylów, skrypty, czcionki, filmy lub adresy zapisane w ustawieniach motywu i wtyczek. Przeglądarka może wtedy zablokować zasób albo wyświetlić ostrzeżenie o niepełnym zabezpieczeniu.

Do diagnozy użyj narzędzi przeglądarki:

• Otwórz problematyczną podstronę i naciśnij F12.
• Przejdź do zakładki „Console” i wyszukaj komunikaty dotyczące Mixed Content.
• W zakładce „Network” sprawdź zasoby ładowane z adresami zaczynającymi się od http://.
• Użyj podglądu źródła strony i wyszukaj ciąg http://, pomijając adresy zewnętrzne, które nie muszą należeć do Twojej domeny.

Najpierw popraw adresy zapisane w bazie danych. Jeśli problem pozostanie, sprawdź ustawienia motywu, formularzy, sliderów i wtyczek. Przy Elementorze wykonaj dodatkową zamianę URL w jego narzędziach. Zasoby pobierane z innej domeny również muszą być dostępne przez HTTPS, w przeciwnym razie trzeba użyć ich bezpiecznego odpowiednika albo zrezygnować z danego zasobu.

Co sprawdzić po wdrożeniu SSL?

Po zmianach otwórz stronę w oknie prywatnym i przejdź przez najważniejsze elementy witryny. Końcowa kontrola powinna obejmować:

• adres strony z https:// oraz poprawne przekierowanie z wersji HTTP kodem 301,
• stronę główną, wpisy, podstrony, formularze, koszyk i logowanie,
• konsolę przeglądarki pod kątem komunikatów Mixed Content i błędów 404,
• Google Search Console z dodaną wersją HTTPS witryny,
• Google Analytics z ustawionym adresem witryny w wersji HTTPS,
• usunięte tymczasowe wtyczki, w tym Better Search Replace, oraz wyczyszczoną pamięć podręczną.

Jeżeli certyfikat nadal nie działa, pojawia się pętla przekierowań albo strona zwraca błąd po edycji .htaccess, przywróć kopię pliku i skontaktuj się z hostingiem. Problemy na poziomie certyfikatu lub serwera wymagają konfiguracji w panelu hostingowym, a nie kolejnych zmian w WordPressie.