Bied de pagina aan via HTTPS met een geldig certificaat
Beschrijving
Dit criterium controleert of je pagina veilig wordt aangeboden: het uiteindelijke adres begint met https://; het certificaat is geldig, dekt de naam van de site en verloopt niet binnen 14 dagen; het adres met http:// leidt om naar https://; de header Strict-Transport-Security dwingt HTTPS af voor minstens zes maanden; geen enkel bestand van de pagina wordt via http:// geladen.
Een pagina zonder HTTPS of met een ongeldig certificaat krijgt de status “Slecht”, wat de andere punten ook zijn.
Waarom dit belangrijk is voor AI
AI-assistenten verwijzen naar de pagina’s die ze citeren. Geeft het adres een beveiligingswaarschuwing, dan is het bezoek verloren; kan de inhoud onderweg worden gewijzigd, dan is je tekst niet meer betrouwbaar. HTTPS versleutelt de uitwisseling tussen je server en wie de pagina leest, bezoekers en crawlers.
- Een verlopen certificaat, of een certificaat dat de naam van de site niet dekt, laat de beveiligde verbinding mislukken: de browser toont een waarschuwing in plaats van de pagina.
- Zonder HTTPS kan een tussenpartij de pagina onderweg lezen of wijzigen, bijvoorbeeld om er advertenties in te voegen.
- Browsers blokkeren scripts en stylesheets die via http:// worden geladen op een HTTPS-pagina: de pagina kan onvolledig worden weergegeven.
Zo los je het op
- 1 Bied de pagina aan via HTTPS Installeer een certificaat op je site, of zet de HTTPS-optie van je hostingprovider of je CMS aan. Let’s Encrypt geeft gratis certificaten uit, en veel hostingproviders vragen ze voor je aan en beheren ze. Werk daarna de interne links, de canonieke URL en de sitemap bij naar de adressen met https://.
- 2 Houd het certificaat geldig Het certificaat moet zijn uitgegeven door een erkende instantie, met de volledige keten, en de exacte naam van de site dekken, met of zonder www, afhankelijk van het adres dat je gebruikt. Automatiseer de verlenging: iPand meldt een certificaat dat binnen 14 dagen verloopt.
- 3 Leid http:// om naar https:// Stel je server of hostingprovider zo in dat elk adres met http:// met een permanente 301-omleiding doorverwijst naar hetzelfde adres met https://. Bezoekers en crawlers die een oude link volgen, komen zo op de beveiligde versie terecht.
- 4 Zet HSTS aan Voeg aan de HTTPS-antwoorden de header Strict-Transport-Security toe met een max-age van minstens 15768000 seconden, ofwel zes maanden, bijvoorbeeld max-age=31536000 voor een jaar. De browser gaat dan bij volgende bezoeken direct naar HTTPS. Test eerst met een korte duur en ga daarna naar zes maanden of meer.
- 5 Laad alle bestanden via HTTPS Vervang de http://-adressen van afbeeldingen, scripts, stylesheets, lettertypen en iframes door hun https://-versie, of door relatieve adressen voor je eigen bestanden. De ontwikkelaarsconsole van je browser meldt de gemengde inhoud die overblijft.
In het kort
Met HTTPS lezen bezoekers en crawlers je pagina zonder waarschuwing en zonder dat iemand haar onderweg wijzigt. iPand controleert elke dag het aangeboden adres, het certificaat, de omleiding, HSTS en de bestanden van de pagina.
