Ein SSL-Zertifikat ist eine digitale Bescheinigung, die einen Server einer bestimmten Domain zuordnet und die verschlüsselte Verbindung zwischen Browser und Website ermöglicht. Fachlich korrekt heißt das zugrundeliegende Protokoll seit Jahren TLS; die Bezeichnung SSL hat sich als Name für die Zertifikate gehalten, obwohl das gleichnamige Protokoll überholt ist. Sichtbar wird das Ergebnis am Kürzel https in der Adresszeile: Die übertragenen Daten sind auf dem Weg verschlüsselt und für Dritte im selben Netz nicht mitlesbar, was besonders bei Formularen, Logins und Zahlungen zählt.
Zertifikate unterscheiden sich im Prüfumfang, von der reinen Domainprüfung bis zur Prüfung des dahinterstehenden Unternehmens; auf die Stärke der Verschlüsselung wirkt sich das nicht aus. Ausgestellt werden sie von Zertifizierungsstellen, kostenpflichtig oder kostenlos über Let's Encrypt, und sie laufen nach kurzer Zeit ab, weshalb die automatische Erneuerung Standard sein sollte.
Zwei Missverständnisse sind verbreitet: Das Schloss-Symbol sagt nichts über die Seriosität des Betreibers aus, und die Verschlüsselung schützt nur den Transportweg, nicht die Daten auf dem Server. Für Websites ist HTTPS in der Praxis Pflicht, weil Browser unverschlüsselte Seiten als unsicher kennzeichnen und die Verschlüsselung des Transportwegs zu den angemessenen Sicherheitsmaßnahmen nach Art. 32 DSGVO zählt.