Die Seite über HTTPS mit gültigem Zertifikat ausliefern

Beschreibung

Dieses Kriterium prüft, ob Ihre Seite sicher ausgeliefert wird: Ihre endgültige Adresse beginnt mit https://; ihr Zertifikat ist gültig, deckt den Namen der Website ab und läuft nicht innerhalb von 14 Tagen ab; die Adresse mit http:// leitet auf https:// weiter; der Header Strict-Transport-Security erzwingt HTTPS für mindestens sechs Monate; keine Ressource der Seite wird über http:// geladen.

Eine Seite ohne HTTPS oder mit ungültigem Zertifikat erhält den Status „Schlecht“, unabhängig von den anderen Punkten.

Warum es für KI-Assistenten zählt

KI-Assistenten verweisen auf die Seiten, die sie zitieren. Löst die Adresse eine Sicherheitswarnung aus, ist der Besuch verloren; kann der Inhalt unterwegs verändert werden, ist Ihr Text nicht mehr verlässlich. HTTPS verschlüsselt die Verbindung zwischen Ihrem Server und allen, die die Seite lesen, Besuchern wie Crawlern.

• Ein abgelaufenes Zertifikat oder eines, das den Namen der Website nicht abdeckt, lässt die sichere Verbindung scheitern: Der Browser zeigt statt der Seite eine Warnung.
• Ohne HTTPS kann ein Dritter die Seite unterwegs lesen oder verändern, zum Beispiel um Werbung einzuschleusen.
• Browser blockieren Skripte und Stylesheets, die auf einer HTTPS-Seite über http:// geladen werden: Die Seite wird womöglich unvollständig angezeigt.

So korrigieren Sie es

1. 1 Liefern Sie die Seite über HTTPS aus Installieren Sie ein Zertifikat auf Ihrer Website oder aktivieren Sie die HTTPS-Option Ihres Hosters oder Ihres CMS. Let’s Encrypt stellt kostenlose Zertifikate aus, und viele Hoster beschaffen und verwalten sie für Sie. Stellen Sie danach interne Links, kanonische URL und Sitemap auf die Adressen mit https:// um.
2. 2 Halten Sie das Zertifikat gültig Das Zertifikat muss von einer anerkannten Zertifizierungsstelle ausgestellt sein, mit vollständiger Zertifikatskette, und den genauen Namen der Website abdecken, mit oder ohne www, je nach der Adresse, die Sie verwenden. Automatisieren Sie die Verlängerung: iPand meldet ein Zertifikat, das in weniger als 14 Tagen abläuft.
3. 3 Leiten Sie http:// auf https:// weiter Richten Sie Ihren Server oder Ihren Hoster so ein, dass jede Adresse mit http:// per dauerhafter Weiterleitung 301 auf dieselbe Adresse mit https:// verweist. Besucher und Crawler, die einem alten Link folgen, landen so auf der sicheren Version.
4. 4 Aktivieren Sie HSTS Ergänzen Sie die HTTPS-Antworten um den Header Strict-Transport-Security mit einem max-age von mindestens 15768000 Sekunden, also sechs Monaten, zum Beispiel max-age=31536000 für ein Jahr. Der Browser wechselt dann bei späteren Besuchen direkt zu HTTPS. Testen Sie zuerst mit einer kurzen Dauer und gehen Sie dann auf sechs Monate oder mehr.
5. 5 Laden Sie alle Ressourcen über HTTPS Ersetzen Sie die Adressen mit http:// von Bildern, Skripten, Stylesheets, Schriftarten und iframes durch ihre Version mit https:// oder, bei Ihren eigenen Dateien, durch relative Adressen. Die Entwicklerkonsole Ihres Browsers meldet verbleibende gemischte Inhalte.

Zum Weiterlesen

• web.dev — Why HTTPS matters
• web.dev — Enable HTTPS on your servers
• Let’s Encrypt — Getting started
• MDN — Mixed content