HTTPS
HTTPS (Hypertext Transfer Protocol Secure) je HTTP přenášené šifrovaným kanálem: obsah stránky se cestou mezi prohlížečem a serverem nedá odposlechnout ani pozměnit. Dnes je to normální stav webu — přes 95 % načtení stránek v Chromu na Windows už podle Googlu probíhá zabezpečeně.
S tím se ale pojí omyl, který stojí lidi peníze na obou stranách: zámeček v adresním řádku nikdy neznamenal, že je web poctivý. Znamenal jen, že spojení nikdo neposlouchá. Pro majitele webu z toho plyne jedna praktická věc — HTTPS nasadit musíte, ale čekat od něj vyšší pozice nebo automatickou důvěru zákazníků nemá smysl.
Co v článku najdete
Co HTTPS zařídí a co ne
HTTPS je zapečetěná obálka, ne prověrka odesílatele. Zaručí, že cestou dopis nikdo neotevřel. O tom, kdo ho poslal a co v něm stojí, neříká nic.
Co zařídí
Přenos- +Hesla a platební údaje nikdo po cestě nepřečte
- +Nikdo do stránky cestou nevloží cizí obsah nebo reklamu
- +Prohlížeč ověří, že se připojuje na tu doménu, kterou zadal uživatel
- +Zpřístupní moderní funkce prohlížeče, které bez zabezpečení nefungují
Co nezařídí
Mimo- −Že provozovatel webu je poctivý
- −Ochranu webu před napadením nebo únikem dat ze serveru
- −Lepší pozice ve vyhledávání
- −Soulad s GDPR
Co znamená zámeček v prohlížeči
Tohle je nejcennější část celého tématu, protože jde proti tomu, co se o HTTPS běžně píše — včetně starší verze tohoto článku.
Víme, že ikona zámku neoznačuje důvěryhodnost webu.
Chrome Security Team, Chromium Blog, květen 2023 (překlad z angličtiny)
Google k tomu doplňuje čísla ze svého výzkumu: v roce 2021 správně chápalo přesný význam zámečku jen 11 % účastníků studie, a téměř všechny phishingové weby dnes běží na HTTPS, takže zámeček zobrazují také. Proto Chrome od verze 117 ze září 2023 zámeček v adresním řádku nahradil neutrální ikonou nastavení. Na nezabezpečené stránky prohlížeče dál upozorňují — jen přestaly odměňovat to, co je dnes samozřejmost.
Certifikát zdarma má i podvodný e-shop
Certifikáty jsou dnes bezplatné a vydávají se automaticky během několika minut. Podvodný obchod je tedy má úplně stejně jako ten váš. Pokud v komunikaci se zákazníky stavíte důvěru na zámečku, opíráte ji o něco, co nic nestojí a co má i konkurence i podvodník.
Co certifikát ověřuje
Certifikát vydává certifikační autorita a existuje ve třech úrovních ověření. Rozdíl mezi nimi je čistě v tom, co autorita před vydáním prověří — na šifrování samotné nemá vliv žádná.
| Typ | Co autorita ověří | Co uvidí návštěvník |
|---|---|---|
| DV (Domain Validation) | Že žadatel ovládá doménu | Totéž co u ostatních |
| OV (Organization Validation) | Navíc existenci firmy | Totéž co u ostatních |
| EV (Extended Validation) | Navíc právní a fyzickou existenci subjektu | Totéž co u ostatních |
Třetí sloupec není chyba. Zelený pruh se jménem firmy, kvůli kterému se EV certifikáty draze prodávaly, prohlížeče zrušily: Chrome ve verzi 77 v září 2019, Firefox ve verzi 70 o měsíc později, Safari ještě dřív. Údaje o firmě jsou dnes schované za kliknutím a v praxi je nikdo neotevírá. Pro běžný web tedy nemá smysl platit za nic jiného než za DV, a ten bývá zdarma.
HTTPS a pozice ve vyhledávání
Co platí. Google v srpnu 2014 oznámil, že zabezpečené spojení zařadil mezi hodnotící signály — a v témže textu ho označil za velmi lehký signál, který ovlivňuje méně než procento celosvětových dotazů a váží méně než kvalita obsahu. Aktuální dokumentace k dojmu ze stránky jde dál: mimo Core Web Vitals ostatní složky dojmu ze stránky podle ní k lepšímu umístění přímo nepomáhají.
Co neplatí. Že vyhledávače weby bez HTTPS penalizují a že HTTPS je podmínkou pro zařazení do indexu. Technické požadavky Google Search Essentials jsou tři: Googlebot není zablokovaný, stránka vrací kód 200 a má indexovatelný obsah. HTTPS mezi nimi není.
Co doložit nejde. Tvrzení, že přechod na HTTPS pozice zvedne — ani opačné, že nepřinese nic. Veřejná data pro žádnou z verzí neexistují a migrace s sebou vždy nese další změny naráz, takže se dopad samotného protokolu izolovat nedá.
Skutečný důvod, proč HTTPS nasadit
Nejsou to pozice, ale provoz. Prohlížeče označují nezabezpečené stránky jako nezabezpečené, řada funkcí bez HTTPS nefunguje vůbec a platební brány ani měřicí nástroje s nešifrovaným webem nepočítají. Argumentace přes SEO je u tohohle tématu zbytečná — obchodní důvody jsou silnější a nejdou zpochybnit.
Přechod na HTTPS krok za krokem
U e-shopových platforem bývá certifikát součástí služby a přepnutí je otázka jednoho přepínače. Následující kroky platí tam, kde si web spravujete sami — a hlavně body 3 až 6, na které se zapomíná i u hotových řešení.
Pořídit a nasadit certifikát
Bezplatné certifikáty od Let's Encrypt zvládne většina hostingů vydat i obnovovat automaticky. Podrobnosti rozebírá pojem SSL certifikát.
Pokrýt všechny tvary domény
Certifikát musí platit pro variantu s www i bez ní a pro každou subdoménu, kterou provozujete. Jinak návštěvník uvidí výstrahu.
Přesměrovat jedním skokem
Nezabezpečená adresa musí vést trvalým přesměrováním 301 rovnou na finální tvar, ne přes mezistanici bez www.
Opravit smíšený obsah
Obrázky, styly a skripty natvrdo odkazované přes nezabezpečenou adresu prohlížeč zablokuje a stránka se rozpadne. Projděte i interní odkazy v obsahu.
Sjednotit canonical a sitemapu
V kanonických značkách i v sitemap.xml musí být zabezpečené adresy. Jinak dostane vyhledávač protichůdné pokyny.
Založit novou službu v Search Console
Zabezpečená verze je pro Search Console jiná služba. Bez jejího přidání data po migraci zdánlivě zmizí.
Nejčastější chyby z našich auditů
Tohle nacházíme na webech, které přechod na HTTPS dávno mají za sebou. Všechny tyhle chyby vznikají až v provozu, ne při migraci.
Certifikát propadl a nikdo to nevěděl
Ruční obnova bez hlídání. Prohlížeč pak návštěvníkovi zobrazí celoobrazovkovou výstrahu a e-shop je fakticky mimo provoz.
Certifikát nepokrývá všechny adresy
Nejčastěji chybí varianta bez www nebo zapomenutá subdoména s blogem. Návštěvník uvidí výstrahu a odejde.
Nezabezpečené prvky v šabloně
Objeví se typicky po vložení staršího widgetu nebo skriptu třetí strany. Rozbije se konkrétní funkce, ne celý web, a proto si toho dlouho nikdo nevšimne.
Přesměrování na dva a více skoků
Nezabezpečená adresa vede na verzi bez www a ta teprve na cílovou. Zbytečné zdržení u každého vstupu z odkazu nebo z nástěnky.
Search Console zůstala na staré verzi
Data se po migraci rozdělí mezi dvě služby. Vypadá to jako propad výkonu, přitom se jen měří jinde.
Placený certifikát kvůli důvěryhodnosti
Za dražší typ se platí kvůli zobrazení firmy v prohlížeči, které prohlížeče zrušily v roce 2019. Návštěvník rozdíl nepozná.
Časté dotazy
Zlepší se mi pozice, když přejdu na HTTPS?
Samo o sobě spíš ne. Google v roce 2014 potvrdil zabezpečené spojení jako hodnotící signál a rovnou ho popsal jako velmi lehký, ovlivňující méně než procento dotazů. Aktuální dokumentace navíc uvádí, že mimo Core Web Vitals ostatní složky dojmu ze stránky k lepšímu umístění přímo nepomáhají.
Nasaďte ho kvůli bezpečnosti a kvůli tomu, že bez něj přestává fungovat řada věcí. Pozice jsou v tomhle rozhodnutí vedlejší.
Penalizuje Google weby bez HTTPS?
Ne. Technické požadavky, které Google uvádí pro zařazení stránky do výsledků, jsou tři: Googlebot není zablokovaný, stránka vrací kód 200 a obsahuje indexovatelný obsah. Zabezpečené spojení mezi nimi není.
Praktický dopad má spíš prohlížeč než vyhledávač — nezabezpečenou stránku návštěvníkovi označí jako nezabezpečenou dřív, než se dostane k obsahu.
Je web se zámečkem bezpečný?
Bezpečné je spojení, ne web. Zámeček říká, že po cestě nikdo nečte ani nemění data — o tom, komu je posíláte, nevypovídá nic. Google sám uvádí, že téměř všechny phishingové weby běží na HTTPS.
Proto Chrome zámeček v roce 2023 nahradil neutrální ikonou. Důvěryhodnost webu se posuzuje podle obsahu, kontaktů, recenzí a obchodních podmínek, ne podle ikony v adresním řádku.
Vyplatí se koupit dražší certifikát?
Pro běžný web ne. Šifrování je u všech typů stejné a rozdíl je jen v tom, co autorita prověří před vydáním. Zobrazení firmy v adresním řádku, kvůli kterému se dražší typy prodávaly, prohlížeče zrušily v roce 2019.
Smysl má řešit jiné parametry — jestli certifikát pokrývá všechny vaše domény a jestli se obnovuje sám.
Znamená HTTPS, že jsem v souladu s GDPR?
Ne. Šifrovaný přenos je jedno z technických opatření, ale s povinnostmi kolem souhlasů, informování subjektů údajů nebo lhůt pro uchování dat nemá nic společného.
Máte web na HTTPS, ale nevíte, jestli je nastavený správně?
Smíšený obsah, řetězce přesměrování a rozdělená data v Search Console jsou tiché chyby — nic se nerozbije, jen se roky ztrácí výkon. Projdeme to s vámi a řekneme, co opravit jako první.
Termín si vyberete v kalendáři.
Zdroje
- ADRIAN, David a kol. An Update on the Lock Icon. Chromium Blog [online]. 2. 5. 2023 [cit. 18. 9. 2026]. Dostupné z: https://blog.chromium.org/2023/05/an-update-on-lock-icon.html
- GOOGLE. Google Search technical requirements. Google Search Central [online] [cit. 18. 9. 2026]. Dostupné z: https://developers.google.com/search/docs/essentials/technical
- GOOGLE. Understanding page experience in Google Search results. Google Search Central [online]. Aktualizováno 10. 12. 2025 [cit. 18. 9. 2026]. Dostupné z: https://developers.google.com/search/docs/appearance/page-experience
- BAHAJJI, Zineb Ait a Gary ILLYES. HTTPS as a ranking signal. Google Search Central Blog [online]. 7. 8. 2014 [cit. 18. 9. 2026]. Dostupné z: https://developers.google.com/search/blog/2014/08/https-as-ranking-signal
- ABRAMS, Lawrence. Chrome 77 Released With Removed EV Certificate Indicator. BleepingComputer [online]. 10. 9. 2019 [cit. 18. 9. 2026]. Dostupné z: https://www.bleepingcomputer.com/news/google/chrome-77-released-with-removed-ev-certificate-indicator/
Údaj o zrušení zobrazení firmy u EV certifikátů pochází ze sekundárního zdroje; původní oznámení Chrome je dostupné jen v archivu vývojářské konference. Chování prohlížečů i znění dokumentace se mění — u konkrétních detailů si ověřte aktuální stav přímo u zdroje.