HTTPS

HTTPS už dávno není nadstandard, ale absolutní základ každého webu. V roce 2026 se ale pravidla mění výrazněji než kdykoli předtím — Chrome od října začíná blokovat nezabezpečené weby a platnost SSL/TLS certifikátů se zkracuje na 200 dní.

V tomhle článku se dozvíte, co HTTPS přesně dělá, proč ho Google bere jako ranking faktor, jak ovlivňuje konverze a co konkrétně musíte v roce 2026 udělat, abyste neztratili návštěvnost ani důvěru zákazníků.

Co je HTTPS a jak funguje

HTTPS (HyperText Transfer Protocol Secure) je zabezpečená varianta protokolu HTTP, přes který si váš prohlížeč vyměňuje data s webovým serverem. Hlavní rozdíl je v tom, že přenášená komunikace je šifrovaná — útočník mezi vámi a serverem nedokáže odposlechnout, co posíláte ani co dostáváte zpátky.

Šifrování zajišťuje protokol TLS (Transport Layer Security), aktuálně ve verzi 1.3 z roku 2018. Starší zkratka SSL se sice ještě běžně používá v obchodním slangu (například „SSL certifikát”), ale samotný SSL protokol je už roky zastaralý a všechny moderní weby používají TLS.

Tři věci, které HTTPS dělá

• Šifruje přenos — hesla, čísla karet, formuláře nebo obsah košíku nikdo cestou nepřečte.
• Ověřuje identitu serveru — návštěvník má jistotu, že komunikuje opravdu s vaším webem, ne s podvrženou napodobeninou.
• Hlídá integritu dat — pokud někdo data cestou změní (vloží reklamu, malware nebo upraví obsah), prohlížeč to pozná a spojení odmítne.

Klíčem k tomu všemu je certifikát vydaný důvěryhodnou certifikační autoritou. Ten obsahuje veřejný klíč serveru a digitální podpis autority, kterému prohlížeč věří. Když web certifikát nemá nebo má vypršený, prohlížeč zobrazí varování a většina návštěvníků okamžitě odejde.

HTTPS v roce 2026: aktuální stav a klíčové změny

Adopce HTTPS dosáhla úrovně, kdy už je nezabezpečený web výjimkou. Podle dat W3Techs z ledna 2026 používá HTTPS 88,08 % všech webů, v top 100 000 webech podle návštěvnosti je to dokonce 92,6 %. Na Androidu prochází přes 99 % provozu šifrovaným spojením.

Pro rok 2026 jsou ale klíčové tři věci, které musíte řešit, ať máte web jakkoli velký:

1. Chrome od října 2026 blokuje HTTP

Google oznámil, že jeho prohlížeč bude od podzimu 2026 přistupovat výhradně přes HTTPS. Pokud váš web nemá platný certifikát, návštěvníkům Chrome zobrazí varovnou stránku a oni se na obsah jednoduše nedostanou.

Vzhledem k tomu, že Chrome v Česku používá většina uživatelů, znamená to efektivní konec viditelnosti pro jakýkoli nezabezpečený web.

2. Platnost certifikátů se zkracuje na 200 dní

Od 15. března 2026 začalo platit nové pravidlo CA/Browser Fora — maximální platnost veřejně důvěryhodného SSL/TLS certifikátu je 200 dní. Některé certifikační autority jako Sectigo nebo DigiCert přešly na kratší platnost už koncem února 2026.

A to není konec. Plán dál vypadá takhle:

• březen 2027 — maximální platnost klesá na 100 dní
• březen 2028 — maximální platnost klesá na 47 dní
• Let’s Encrypt plánuje vydávat certifikáty s platností 64 dní v roce 2027 a 45 dní v roce 2028

Praktický dopad? Ruční obnova certifikátů přes webové rozhraní je už neudržitelná. Automatizace přes ACME protokol (například Certbot, acme.sh, Win-acme) přestává být volbou a stává se nutností — jinak vám certifikát mezi dvěma kontrolami expiruje a web vypadne.

3. Phishingové weby používají HTTPS taky

Doba, kdy zámeček v adresním řádku znamenal „důvěryhodný web”, je dávno pryč. Bezplatné DV (Domain Validation) certifikáty od Let’s Encrypt používá podle dat z roku 2026 i drtivá většina podvodných stránek — jednoduše proto, že se vydávají automaticky a zdarma.

HTTPS proto neznamená, že web je bezpečný k použití. Znamená jen, že přenos dat na něj je šifrovaný. Pro e-shopy a finanční služby tak má smysl uvažovat o OV nebo EV certifikátech, které ověřují i identitu organizace za doménou.

HTTPS jako SEO ranking faktor

Google potvrdil HTTPS jako ranking signál už v roce 2014 a od té doby jeho váhu jen zvyšuje. V roce 2026 už není otázkou, jestli HTTPS ovlivňuje pozice ve vyhledávání — odpověď je zjevná. Otázka spíš zní, kolik vás stojí ho nemít.

Přímé i nepřímé efekty na rankings

• Přímý ranking signál — při srovnatelné kvalitě obsahu Google preferuje zabezpečený web před nezabezpečeným.
• E-E-A-T (Experience, Expertise, Authoritativeness, Trustworthiness) — HTTPS je jeden ze základních signálů důvěryhodnosti, který Google v roce 2026 vyhodnocuje.
• Engagement metriky — když Chrome zobrazí varování o nezabezpečeném webu, mezi 13 a 37 % návštěvníků odejde okamžitě. Vysoký bounce rate Google interpretuje jako nízkou kvalitu stránky.
• Referrer data — pokud z HTTPS webu odkážete na HTTP web, referrer informace se nepřenáší. V Google Analytics pak ztrácíte data o zdroji návštěvnosti.

E-shopy navíc reportují 3–9% pokles obratu, když mají na webu dlouhodobě HTTPS chyby (špatně nakonfigurovaný certifikát, mixed content, expirovaný certifikát). Důvod je prostý — návštěvníci varování v prohlížeči přečtou jako „tady něco nefunguje” a dokončí nákup jinde.

Jak přejít z HTTP na HTTPS bez ztráty SEO

Pokud váš web ještě běží na HTTP nebo migrujete novou doménu, zde je postup, který minimalizuje riziko propadu pozic:

1. Vyberte typ certifikátu. Pro běžný blog nebo prezentační web stačí bezplatný DV certifikát od Let’s Encrypt. E-shopy a finanční weby zvažte OV nebo EV certifikát s ověřenou identitou organizace.
2. Nainstalujte certifikát na server. Většina hostingů má dnes podporu Let’s Encrypt přímo v administraci jedním klikem. U vlastního serveru použijte Certbot nebo jiného ACME klienta.
3. Nastavte 301 přesměrování. Každá HTTP URL musí trvale (kód 301) přesměrovávat na svůj HTTPS protějšek. Bez tohoto kroku Google bude vidět dvě verze webu a rozdrobí ranking signály.
4. Aktivujte HSTS. Hlavička HTTP Strict Transport Security řekne prohlížeči, aby na váš web už nikdy nezkoušel HTTP. Snižuje to riziko útoku a urychluje načítání.
5. Opravte mixed content. Na HTTPS stránce se nesmí načítat žádný HTTP zdroj (obrázek, skript, iframe). Prohlížeč by je zablokoval. Najděte je nástrojem typu Why No Padlock a přepište všechny URL na HTTPS nebo relativní cesty.
6. Aktualizujte interní odkazy a sitemap. Všechny odkazy v navigaci, patičce a obsahu by měly mířit na HTTPS verzi. Sitemap a robots.txt taktéž.
7. Přidejte HTTPS verzi do Search Console. Google Search Console vidí HTTP a HTTPS jako dvě různé property. Přidejte si tu HTTPS, vložte novou sitemap a sledujte indexaci.
8. Nastavte automatickou obnovu certifikátu. Vzhledem ke zkracování platnosti na 200 dní (a dál) je ruční obnova přes formulář cesta do pekel. Použijte ACME klienta a otestujte, že obnova funguje, ještě než vám certifikát expiruje.

U větších webů s tisíci URL doporučuji migraci nasadit postupně po sekcích a sledovat v Search Console crawl errors. Ostrou migraci pak provést mimo špičku — třeba v noci v sobotu — kdy je nejnižší riziko, že se chyba projeví na obratu.

Jaký SSL/TLS certifikát si vybrat

Trh s certifikáty se v roce 2026 zjednodušil — Let’s Encrypt drží podle aktuálních dat 63,9 % tržního podílu a pokrývá většinu standardních potřeb. Zaplacený certifikát ale stále dává smysl, jen ne kvůli silnějšímu šifrování.

Tři typy certifikátů podle úrovně ověření

DV (Domain Validation) — pro běžné weby

Ověřuje pouze, že žadatel má kontrolu nad doménou. Vydává se automaticky během minut. Bezplatný (Let’s Encrypt, ZeroSSL) nebo levný. Vhodný pro blogy, firemní prezentace, malé e-shopy.

OV (Organization Validation) — pro firmy

Certifikační autorita ověří, že za doménou stojí reálná organizace. Trvá to dny a stojí to typicky 1 500–5 000 Kč ročně. Vhodné pro střední firmy, e-shopy, B2B služby.

EV (Extended Validation) — pro finance a vysokou důvěru

Nejpřísnější ověření, včetně právní existence firmy. Cena typicky 5 000–25 000 Kč ročně. V roce 2026 už nezobrazuje zelenou lištu (prohlížeče tuto vizuální indikaci postupně zrušily), ale informace o organizaci jsou stále viditelné po kliknutí na zámeček. Vhodné pro banky, fintech, velké e-shopy.

Pravda, kterou výrobci certifikátů neradi slyší: šifrování je u všech tří typů identické. Bezplatný DV od Let’s Encrypt používá stejný TLS 1.3 a stejnou šifrovací sílu jako EV certifikát za 25 000 Kč. Rozdíl je jen v hloubce ověření a marketingových signálech důvěryhodnosti.

Časté chyby při nasazení HTTPS

Podle aktuálních dat z roku 2026 přibližně 30 % webů s HTTPS má nějakou konfigurační chybu. Tady jsou ty nejčastější, na které dejte pozor:

• Mixed content — HTTPS stránka načítá HTTP zdroje. Prohlížeč buď zablokuje funkčnost, nebo zobrazí varování o nedostatečném zabezpečení.
• Chybějící 301 přesměrování — HTTP verze webu zůstává dostupná souběžně s HTTPS. Google vidí duplicitu a rozděluje ranking.
• Expirovaný certifikát — vzhledem k 200denní platnosti od března 2026 se to bude stávat čím dál častěji. Nastavte si monitoring (UptimeRobot, StatusCake) s upozorněním 30 dní předem.
• Slabé šifrovací sady — asi 9 % serverů v roce 2026 stále podporuje zastaralé šifry. Otestujte si konfiguraci na SSL Labs (ssllabs.com/ssltest), cíl je hodnocení A nebo A+.
• Chybný řetěz certifikátů — server posílá jen samotný certifikát bez intermediate. Některé prohlížeče si poradí, jiné zobrazí chybu. SSL Labs to pozná.
• HTTP/2 nebo HTTP/3 nezapnuté — TLS 1.3 spolu s HTTP/2 nebo HTTP/3 znatelně zrychluje načítání. Pokud máte HTTPS, ale stále jedete na HTTP/1.1, přicházíte o výkonnostní benefit.

Nejčastější otázky

Zpomalí HTTPS můj web?

Ne. S TLS 1.3 a HTTP/2 je HTTPS web v drtivé většině případů rychlejší než HTTP, protože novější protokoly přinášejí optimalizace, které nešifrovaná verze neměla.

Stačí mi bezplatný certifikát od Let’s Encrypt?

Pro běžný web ano — šifrování je stejné jako u placených certifikátů. Pro e-shopy s vysokým obratem nebo finanční služby zvažte OV nebo EV, kde získáte navíc ověřenou identitu organizace a obvykle i finanční záruku.

Co se stane, když mi expiruje certifikát?

Návštěvníci uvidí v prohlížeči varovnou stránku a většina jich okamžitě odejde. Google začne web řadit níž a po několika dnech může propadnout viditelnost. Nastavte si monitoring a automatickou obnovu přes ACME.

Musí mít HTTPS i jednoduchý blog bez formulářů?

Ano. Od října 2026 Chrome blokuje nezabezpečené weby plošně, bez ohledu na to, jestli sbíráte data nebo ne. Bez HTTPS se na vás návštěvníci přes Chrome nedostanou.

Co je rozdíl mezi SSL a TLS?

SSL je starší předchůdce TLS. SSL protokol je už roky zastaralý a nepoužívá se. Když dnes někdo říká „SSL certifikát”, reálně jde o TLS certifikát — termín se jen zachoval z historických důvodů.

Jak často budu muset certifikát obnovovat?

Od března 2026 je maximální platnost 200 dní, od března 2027 to bude 100 dní a od března 2028 jen 47 dní. Bez automatizace přes ACME klienta je správa neudržitelná — nastavte si ji co nejdřív.

Další zdroje:

1. 12 Essential SSL Stats for 2026: Trends, Risks & Market Share – SSL Dragon [online]. [cit. 8. 5. 2026]. Dostupné z: https://www.ssldragon.com/blog/ssl-stats/
2. HTTPS certifikáty zkrátí platnost na 47 dní – Konec ruční správy se blíží – Michal Zobec [online]. [cit. 8. 5. 2026]. Dostupné z: https://www.michalzobec.cz/https-certifikaty-zkrati-platnost-na-47-dni-konec-rucni-spravy-se-blizi-9947
3. Zabezpečení webu TLS/SSL certifikáty – CZECHIA.COM [online]. [cit. 8. 5. 2026]. Dostupné z: https://www.czechia.com/ssl/tls-certifikaty
4. TLS certifikát – často kladené otázky – SSLmentor [online]. [cit. 8. 5. 2026]. Dostupné z: https://www.tlscertifikaty.cz/tls/faq
5. Transport Layer Security – Wikipedia [online]. [cit. 8. 5. 2026]. Dostupné z: https://en.wikipedia.org/wiki/Transport_Layer_Security
6. Let’s Encrypt – Free SSL/TLS Certificates – ISRG [online]. [cit. 8. 5. 2026]. Dostupné z: https://letsencrypt.org/
7. The State of SSL: SSL Statistics & Trends Shaping Web Security in 2026 – Compare Cheap SSL [online]. [cit. 8. 5. 2026]. Dostupné z: https://comparecheapssl.com/the-state-of-ssl-key-statistics-and-trends-shaping-web-security/
8. Google Ranking Factors 2026 – Complete SEO Guide – BitPeppy [online]. [cit. 8. 5. 2026]. Dostupné z: https://bitpeppy.com/blogs/the-complete-guide-to-google-ranking-factors-2026-update