https und eine gute Weiterleitung

Modul 4: Geschwindigkeit, Mobilgeräte und https · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion können Sie erklären, warum https für Suchmaschinen und Besucher zählt, den Unterschied zwischen einer dauerhaften und einer vorübergehenden Weiterleitung benennen und prüfen, ob alle Varianten Ihrer Adresse in einem Schritt auf derselben https-Seite landen.

Kernbegriffe: https, Zertifikat, Weiterleitung (Redirect), 301 und 308 (dauerhaft), 302 und 307 (vorübergehend), Weiterleitungskette, bevorzugte Adresse, mit oder ohne www, HSTS, gemischte Inhalte

Vier Adressen für eine Startseite

Wenn Sie den Namen einer Website in die Adressleiste eingeben, kann Ihr Browser an vier Stellen landen:

Für Sie ist das eine Website. Für eine Suchmaschine sind es vier verschiedene Adressen. Liefern alle vier dieselbe Seite, muss Google selbst entscheiden, welche die "echte" Adresse ist. Google nennt das die kanonische Adresse (Lektion 3.5 geht näher darauf ein). Google empfiehlt, selbst eine Adresse als bevorzugte Adresse festzulegen und die anderen Varianten dorthin weiterzuleiten. Dann gibt es keinen Zweifel, und Links auf jede Variante zählen für dieselbe Seite.

Bloemenatelier Lotte wählt https://www.example.com/. Die drei anderen Varianten leiten dorthin weiter. Ob Sie sich für eine Adresse mit oder ohne www entscheiden, spielt für Suchmaschinen keine Rolle. Wichtig ist, dass Sie sich einmal festlegen und überall dabei bleiben: in Ihrem Menü, Ihrer Sitemap, Ihrem Canonical und Ihrem Unternehmensprofil.

Warum https

https bedeutet, dass die Verbindung zwischen Browser und Server mit einem Zertifikat verschlüsselt ist. Niemand unterwegs kann mitlesen oder etwas an der Seite verändern, zum Beispiel in einem öffentlichen WLAN.

Für Suchmaschinen zählt https auf zwei Arten:

1. Als Signal. Google gab 2014 bekannt, dass https ein Rankingsignal ist, bezeichnete es damals aber als "sehr schwaches Signal", das weniger Gewicht hat als gute Inhalte. In der Dokumentation zur Nutzerfreundlichkeit von Seiten steht https als eine der Fragen, die Sie sich stellen sollten ("Werden Ihre Seiten sicher bereitgestellt?"). Überschätzen Sie es also nicht: https allein bringt Sie nicht nach oben.
2. Für Besucher. Browser zeigen bei einer Seite über http "Nicht sicher" an, besonders bei einem Formular. Ein Besucher, der das sieht, springt schneller ab. Das merken Sie an Ihren Besucherzahlen, nicht an einer Rankingregel.

Ein gültiges Zertifikat erhalten Sie heute kostenlos über Let's Encrypt. Bei den meisten Hostinganbietern, auch bei WebOké, wird es automatisch beantragt und erneuert. Achten Sie darauf, dass das Zertifikat beide Namen abdeckt: ohne und mit www. Deckt es nur example.com ab, liefert https://www.example.com/ einen Zertifikatsfehler, noch bevor die Weiterleitung stattfinden kann.

Dauerhaft oder vorübergehend weiterleiten

Eine Weiterleitung (Redirect) ist eine Antwort des Servers: "Diese Seite befindet sich woanders". Das geschieht mit einem dreistelligen Statuscode, der mit einer 3 beginnt, plus einer Kopfzeile Location mit der neuen Adresse.

Laut Google Search Central nutzt die Indexierung eine dauerhafte Weiterleitung als Signal, dass das Ziel kanonisch werden soll. Bei einer vorübergehenden Weiterleitung geschieht das nicht: Die alte Adresse bleibt meist in den Ergebnissen stehen. Der Wechsel von http zu https und die Entscheidung für oder gegen www sind dauerhaft. Verwenden Sie also 301 oder 308.

Sie können eine Weiterleitung selbst sehen. In einem Terminal:

$ curl -sI http://example.com/
HTTP/1.1 301 Moved Permanently
Location: https://www.example.com/

Oder in Ihrem Browser: Öffnen Sie die Entwicklertools (F12), Registerkarte Netzwerk, aktivieren Sie die Option, die das Protokoll beim Laden einer neuen Seite beibehält, und laden Sie die http-Adresse. Sie sehen dann jeden Schritt mit seinem Code.

Weiterleitungsketten

Eine Weiterleitungskette ist eine Weiterleitung auf eine Adresse, die selbst wieder weiterleitet. Ein häufiges Beispiel:

http://example.com/        301 → https://example.com/
https://example.com/       301 → https://www.example.com/
https://www.example.com/   200

Das funktioniert, kostet aber bei jedem ersten Besuch einen zusätzlichen Hin- und Rückweg zum Server. web.dev nennt Weiterleitungen als eine der Ursachen für eine langsame erste Antwort des Servers (Lektion 4.3): Jeder Schritt summiert sich, Ketten noch mehr. Besser ist es, wenn jede Variante in einem Schritt auf der bevorzugten Adresse landet:

http://example.com/          301 → https://www.example.com/
http://www.example.com/      301 → https://www.example.com/
https://example.com/         301 → https://www.example.com/
https://www.example.com/     200

Bei der alten http-Adresse mit dem anderen Namen gelingt das nicht immer in einem Schritt, weil der Server bei manchen Einstellungen zuerst auf https mit demselben Namen weiterleitet und erst dann auf den anderen Namen. Zwei Schritte sind dann akzeptabel; drei oder mehr sind ein Grund, die Einstellungen zu prüfen. Eine Schleife (A leitet zu B, B leitet wieder zu A) ist immer falsch: Die Seite öffnet sich dann überhaupt nicht.

HSTS: Der Browser merkt es sich

HSTS (HTTP Strict Transport Security, RFC 6797) ist eine Kopfzeile, die der Server über https mitsendet:

Strict-Transport-Security: max-age=31536000

Ein Browser, der sie einmal gesehen hat, ruft diese Website danach selbst direkt über https auf, ohne zuerst http zu versuchen. Das spart die erste Weiterleitung und schützt vor Mitlesern. web.dev nennt HSTS auch als Möglichkeit, die Weiterleitung von http zu https zu vermeiden. Für Suchmaschinen ist HSTS kein Signal; für Ihre Besucher ist es eine Verbesserung. Aktivieren Sie es erst, wenn https auf allen Namen einwandfrei funktioniert, denn der Browser merkt es sich so lange, wie max-age angibt. Der Kurs Sicher online geht näher darauf ein.

Gemischte Inhalte

Eine https-Seite, die ein Bild, Skript oder Stylesheet über http:// lädt, enthält gemischte Inhalte (Mixed Content). Browser blockieren unsichere Skripte und Stylesheets oder zeigen eine Warnung. Nach der Umstellung auf https sieht man das oft bei alten Bildern in Texten oder bei einem Theme mit fest eingetragenen Adressen. Suchen Sie im Quelltext nach src="http:// und href="http:// und ersetzen Sie diese durch https oder durch eine relative Adresse.

In der Praxis: Weiterleitung auf https einrichten

Bei einem Hostingpaket von WebOké aktivieren Sie die Weiterleitung auf https in DirectAdmin in den Einstellungen der Domain (Schalter "SSL mit https-Weiterleitung erzwingen") und wählen auf derselben Seite unter "Weiterleitung erzwingen", ob Sie mit oder ohne www arbeiten. Richten Sie die Weiterleitung nur an einer Stelle ein: Zwei Regeln, die jeweils etwas anderes tun (zum Beispiel im Panel und in einem Plugin), führen leicht zu einer Schleife. Eine Website, die mit dem AI Builder erstellt wurde, erhält beim Veröffentlichen ein Zertifikat und eine eigene Adresse. In WordPress tragen Sie unter Einstellungen, Allgemein die WordPress-Adresse und die Website-Adresse mit https:// und Ihrem gewählten Namen ein; die Weiterleitung selbst regeln Sie auf dem Server. Bei anderen Anbietern und Website-Baukästen funktioniert es ähnlich, nur heißen die Schaltflächen anders.

Möchten Sie es über .htaccess lösen (Apache oder LiteSpeed), leitet dies alle Varianten in einem Schritt auf https://www.example.com weiter:

RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} !^www\.example\.com$ [NC]
RewriteRule ^ https://www.example.com%{REQUEST_URI} [R=301,L]

Prüfen Sie danach immer alle vier Varianten, auch mit einem Pfad dahinter (http://example.com/contact): Der Pfad muss erhalten bleiben und darf nicht auf die Startseite springen.

Zusammenfassung

• Legen Sie eine bevorzugte Adresse fest (https, mit oder ohne www) und leiten Sie die anderen Varianten dorthin weiter.
• Verwenden Sie für dauerhafte Weiterleitungen 301 oder 308; 302 und 307 sind vorübergehend und geben Google kein Signal zur kanonischen Adresse.
• Lassen Sie jede Variante in einem Schritt, höchstens zwei, auf der bevorzugten Adresse landen; Ketten kosten Zeit und Schleifen legen die Website lahm.
• https ist laut Google ein schwaches Rankingsignal; für Besucher ist es vor allem eine Frage des Vertrauens. Das Zertifikat muss beide Namen abdecken.
• HSTS lässt den Browser selbst zu https wechseln; gemischte Inhalte räumen Sie nach der Umstellung auf.

Quiz

Aufgabe

Aufgabe A4.1: Geht alles in einem Schritt zu https? Geben Sie Ihren Domainnamen ein (ohne www). Das Programm probiert alle vier Varianten aus (http und https, mit und ohne www), folgt jeder Weiterleitung Schritt für Schritt und prüft das Zertifikat beider Namen. Sie sehen für jede Variante die Kette mit Statuscodes, ob alle auf derselben https-Adresse landen und ob eine HSTS-Kopfzeile vorhanden ist. Keine eigene Website? Verwenden Sie rijksoverheid.nl.

Weiterführende Links

Die Schritte in diesen Artikeln gelten für die Panels von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• DirectAdmin Anleitung 6.4: Besucher immer zu https weiterleiten
• DirectAdmin Anleitung 4.3: Einstellungen einer Domain: SSL, PHP, www und private_html
• DirectAdmin Anleitung 6.3: Zertifikat für www, Subdomains und Wildcard
• Besucher verpflichtend zu https weiterleiten
• Kostenloser DNS-Kurs 3.4: www, Weiterleitung und was DNS nicht kann
• Google Search Central, Redirects and Google Search: https://developers.google.com/search/docs/crawling-indexing/301-redirects
• Google Search Central Blog, HTTPS as a ranking signal (2014): https://developers.google.com/search/blog/2014/08/https-as-ranking-signal
• RFC 6797 (HSTS): https://www.rfc-editor.org/rfc/rfc6797