Servir a página em HTTPS com um certificado válido
Descrição
Este critério verifica se a sua página é servida de forma segura: o endereço final começa com https://; o certificado é válido, cobre o nome do site e não expira nos próximos 14 dias; o endereço em http:// redireciona para https://; o cabeçalho Strict-Transport-Security impõe o HTTPS por pelo menos seis meses; nenhum recurso da página é carregado em http://.
Uma página sem HTTPS ou com certificado inválido recebe o status “Ruim”, sejam quais forem os outros pontos.
Por que isso importa para as IAs
As IAs levam as pessoas às páginas que citam. Se o endereço dispara um alerta de segurança, a visita se perde; se o conteúdo pode ser alterado no caminho, o seu texto deixa de ser confiável. O HTTPS criptografa a troca entre o seu servidor e quem lê a página, sejam visitantes ou rastreadores.
- Um certificado expirado, ou que não cobre o nome do site, faz a conexão segura falhar: o navegador mostra um alerta no lugar da página.
- Sem HTTPS, um intermediário pode ler ou modificar a página no caminho, por exemplo para inserir anúncios nela.
- Os navegadores bloqueiam scripts e folhas de estilo carregados em http:// em uma página em HTTPS: a página pode ser exibida incompleta.
Como corrigir
- 1 Sirva a página em HTTPS Instale um certificado no seu site ou ative a opção HTTPS da sua hospedagem ou do seu CMS. O Let’s Encrypt emite certificados gratuitos, e muitas hospedagens os obtêm e gerenciam para você. Depois, atualize os links internos, a URL canônica e o sitemap para os endereços em https://.
- 2 Mantenha o certificado válido O certificado deve ser emitido por uma autoridade reconhecida, com a cadeia completa, e cobrir o nome exato do site, com ou sem www conforme o endereço que você usa. Automatize a renovação: o iPand sinaliza um certificado que expira em menos de 14 dias.
- 3 Redirecione http:// para https:// Configure o seu servidor ou a sua hospedagem para que todo endereço em http:// leve, por um redirecionamento permanente 301, ao mesmo endereço em https://. Assim, os visitantes e os rastreadores que seguem um link antigo chegam à versão segura.
- 4 Ative o HSTS Adicione às respostas em HTTPS o cabeçalho Strict-Transport-Security com um max-age de pelo menos 15768000 segundos, ou seja, seis meses, por exemplo max-age=31536000 para um ano. O navegador passará então direto para o HTTPS nas visitas seguintes. Teste primeiro com uma duração curta e depois passe para seis meses ou mais.
- 5 Carregue todos os recursos em HTTPS Substitua os endereços em http:// de imagens, scripts, folhas de estilo, fontes e iframes pela versão em https://, ou por endereços relativos para os seus próprios arquivos. O console de desenvolvedor do seu navegador aponta o conteúdo misto que restar.
Pontos-chave
O HTTPS permite que visitantes e rastreadores leiam a sua página sem alerta nem alteração. O iPand verifica todos os dias o endereço servido, o certificado, o redirecionamento, o HSTS e os recursos da página.
