Udostępniaj stronę przez HTTPS z ważnym certyfikatem

Opis

To kryterium sprawdza, czy strona jest udostępniana w bezpieczny sposób: jej adres docelowy zaczyna się od https://; jej certyfikat jest ważny, obejmuje nazwę witryny i nie wygasa w ciągu 14 dni; adres z http:// przekierowuje na https://; nagłówek Strict-Transport-Security wymusza HTTPS przez co najmniej sześć miesięcy; żaden zasób strony nie jest ładowany przez http://.

Strona bez HTTPS lub z nieważnym certyfikatem otrzymuje status „Słaby”, niezależnie od pozostałych punktów.

Dlaczego to ważne dla AI

Platformy AI odsyłają do stron, które cytują. Jeśli adres wywołuje ostrzeżenie o zabezpieczeniach, wizyta przepada; jeśli treść można zmienić po drodze, twój tekst przestaje być wiarygodny. HTTPS szyfruje wymianę danych między twoim serwerem a tymi, którzy czytają stronę – zarówno odwiedzającymi, jak i robotami.

• Wygasły certyfikat albo taki, który nie obejmuje nazwy witryny, uniemożliwia bezpieczne połączenie: przeglądarka zamiast strony wyświetla ostrzeżenie.
• Bez HTTPS pośrednik może odczytać lub zmienić stronę po drodze, na przykład, by wstrzyknąć do niej reklamy.
• Przeglądarki blokują skrypty i arkusze stylów ładowane przez http:// na stronie z HTTPS: strona może wyświetlić się niekompletnie.

Jak to poprawić

1. 1 Udostępniaj stronę przez HTTPS Zainstaluj certyfikat w swojej witrynie albo włącz opcję HTTPS u swojego dostawcy hostingu lub w CMS. Let’s Encrypt wydaje bezpłatne certyfikaty, a wielu dostawców hostingu uzyskuje je i zarządza nimi za ciebie. Następnie zaktualizuj linki wewnętrzne, adres kanoniczny i mapę witryny, by wskazywały adresy z https://.
2. 2 Dbaj o ważność certyfikatu Certyfikat musi być wydany przez zaufany urząd certyfikacji, mieć pełny łańcuch i obejmować dokładną nazwę witryny, z www lub bez, zależnie od używanego adresu. Zautomatyzuj jego odnawianie: iPand ostrzega o certyfikacie, który wygasa za mniej niż 14 dni.
3. 3 Przekieruj http:// na https:// Skonfiguruj serwer lub hosting tak, by każdy adres z http:// prowadził stałym przekierowaniem 301 do tego samego adresu z https://. Odwiedzający i roboty, które korzystają ze starego linku, trafią wtedy na bezpieczną wersję.
4. 4 Włącz HSTS Dodaj do odpowiedzi HTTPS nagłówek Strict-Transport-Security z wartością max-age wynoszącą co najmniej 15768000 sekund, czyli sześć miesięcy, na przykład max-age=31536000 na rok. Przy kolejnych wizytach przeglądarka będzie wtedy od razu łączyć się przez HTTPS. Najpierw przetestuj krótki czas, a potem przejdź na sześć miesięcy lub dłużej.
5. 5 Ładuj wszystkie zasoby przez HTTPS Zastąp adresy z http:// obrazów, skryptów, arkuszy stylów, czcionek i ramek iframe ich wersją z https:// albo, w przypadku własnych plików, adresami względnymi. Konsola deweloperska przeglądarki wskaże pozostałe treści mieszane.

Dowiedz się więcej

• web.dev — Why HTTPS matters
• web.dev — Enable HTTPS on your servers
• Let’s Encrypt — Getting started
• MDN — Mixed content