Was ist HTTPS und warum benötigt Ihre Website es?

Sicherlich haben Sie diese fünf Buchstaben am Anfang von Tausenden von Adressen gesehen:

https://www.cdmon.com

Wir übersehen sie normalerweise. Wir geben die Domain ein, die Seite öffnet sich und wir surfen weiter. Wenn jedoch eine Adresse mit HTTPS beginnt, bedeutet dies, dass die zwischen dem Browser und dem Server ausgetauschten Informationen geschützt übertragen werden.

HTTPS verschlüsselt die zwischen einer Website und ihren Besuchern ausgetauschten Daten. Um es zu verwenden, benötigt der Server ein gültiges digitales Zertifikat.

Ohne diesen Schutz könnten ein Passwort, Formulardaten oder Kaufinformationen ohne minimale Sicherheitsgarantien übertragen werden.

Vor Jahren war HTTPS fast ausschließlich mit Banken und Online-Shops verbunden. Heute sollte es auf jeder Website vorhanden sein, von einem Informationsblog bis zu einer Unternehmensseite mit einem einfachen Kontaktformular.

Was passiert beim Besuch einer Website mit HTTPS

Wenn Sie auf eine Seite zugreifen, fordert der Browser verschiedene Dateien vom Server an: Texte, Bilder, Stile, Schriftarten oder Skripte. Der Server erhält die Anfrage und liefert alles Notwendige, um die Website anzuzeigen.

HTTPS schützt diesen Austausch, bevor die Informationen jedes Ende verlassen.

Der übliche Vergleich ist der einer Postkarte gegenüber einem versiegelten Brief. Der Inhalt einer Postkarte ist während der gesamten Reise sichtbar. Ein Brief hingegen bietet eine Schutzschicht. HTTPS macht etwas Ähnliches mit den Daten, die zwischen Ihrem Browser und der besuchten Seite reisen.

Um diese sichere Kommunikation herzustellen, präsentiert der Server ein digitales Zertifikat. Der Browser überprüft, ob es zur richtigen Domain gehört, ob es nicht abgelaufen ist und ob es von einer anerkannten Behörde stammt.

Wenn alles in Ordnung ist, stellen der Browser und der Server eine verschlüsselte Verbindung her. Der Prozess dauert nur wenige Augenblicke und wir bemerken ihn normalerweise nicht einmal.

Wenn etwas nicht passt, zeigt der Browser eine Warnung an. Dies kann passieren, wenn das Zertifikat abgelaufen ist oder wenn es für example.com ausgestellt wurde, der Benutzer jedoch versucht, von www.example.com aus zuzugreifen und diese zweite Adresse nicht enthalten ist.

Was HTTPS schützt und was nicht

HTTPS verschlüsselt die Informationen während der Reise, um zu verhindern, dass sie direkt gelesen werden, wenn jemand die Kommunikation abfängt. Auf diese Weise schützt es Passwörter, persönliche Daten und Informationen, die über Formulare gesendet werden.

Es erschwert auch das Abfangen oder Ändern der Daten. Dies ist besonders wichtig, wenn man von öffentlichen oder unsicheren Netzwerken aus surft.

Aber HTTPS hat eine sehr klare Grenze: Es schützt die Reise der Informationen, nicht die gesamte Website.

Stellen Sie sich einen Online-Shop vor, der HTTPS verwendet, aber WordPress und mehrere nicht aktualisierte Plugins hat. Die Daten seiner Kunden werden verschlüsselt übertragen, obwohl die Seite weiterhin anfällig für Schwachstellen ist.

Eine Website mit HTTPS kann auch Malware enthalten oder Teil einer Phishing-Kampagne sein. Das Zertifikat bestätigt, dass Sie sicher mit der angegebenen Domain verbunden sind, garantiert jedoch nicht, dass die Person, die sie kontrolliert, gute Absichten hat.

Daher sollte HTTPS von anderen Maßnahmen zum Schutz der Website begleitet werden, wie Updates, Backups, sicheren Passwörtern und angemessenem Serverschutz. Das Zertifikat ist ein Teil der Sicherheit, kein Ersatz für alles andere.

SSL und TLS: warum wir beide Namen verwenden

Obwohl wir oft von „SSL-Zertifikaten“ sprechen, verwenden moderne Verbindungen TLS.

SSL war das ursprüngliche Protokoll. Im Laufe der Zeit wurde es obsolet und durch TLS ersetzt, eine sicherere Technologie. Der Ausdruck „SSL-Zertifikat“ ist geblieben, weil er der von den meisten Benutzern anerkannte Name ist und der, der im Markt allgemein verwendet wird.

Daher bezieht sich ein Hosting mit einem SSL-Zertifikat normalerweise auf ein Zertifikat, das die Einrichtung von HTTPS-Verbindungen mit TLS ermöglicht. Wenn Sie diesen Teil erweitern möchten, lesen Sie unsere Einführung in SSL-Zertifikate.

Aktuelle Server sollten mit TLS 1.2 oder TLS 1.3 arbeiten. Frühere Versionen bieten keinen angemessenen Schutz mehr und viele sind mit modernen Browsern nicht mehr kompatibel.

Was passiert, wenn Ihre Website noch HTTP verwendet

Wenn ein Browser eine Website als „Nicht sicher“ markiert, bedeutet das nicht unbedingt, dass sie betrügerisch ist. Es warnt, dass die mit dieser Seite ausgetauschten Informationen nicht verschlüsselt übertragen werden.

Das Risiko ist besonders wichtig, wenn die Website Folgendes anfordert:

• Ein Passwort.
• Persönliche Daten.
• Bankinformationen.
• Das Absenden eines Formulars.
• Zugang zu einem privaten Bereich.

Neben der Datenexposition kann die Browserwarnung ausreichen, damit eine Person die Seite verlässt, bevor sie sich registriert, kontaktiert oder einen Kauf tätigt.

Auf einer aktuellen Website sollte HTTPS nicht mehr als Extra betrachtet werden. Es ist die minimale Konfiguration, die sowohl von Benutzern als auch von Browsern erwartet wird.

Hilft HTTPS beim SEO?

Ja, aber erwarten Sie keinen Anstieg der Positionen nur durch die Installation eines Zertifikats.

Google bevorzugt HTTPS-Versionen, wenn es gleichwertige Seiten findet, und betrachtet Sicherheit als Teil einer angemessenen Erfahrung. Die Qualität des Inhalts, seine Relevanz und die Antwort, die er auf die Suche bietet, tragen jedoch viel mehr Gewicht.

Das SEO-Problem entsteht, wenn eine Website zwei zugängliche Versionen beibehält:

http://example.com

https://example.com

Obwohl sie für eine Person wie dieselbe Seite erscheinen mögen, sind sie technisch gesehen zwei verschiedene URLs. Wenn die Konfiguration nicht gut gelöst ist, können die Links, das Crawling und die Positionierungssignale zwischen beiden aufgeteilt werden.

Die HTTP-Adresse sollte über eine permanente Weiterleitung zu ihrem HTTPS-Äquivalent führen. Kanonische Tags, interne Links und die Sitemap sollten ebenfalls sichere Adressen verwenden.

Wenn Sie eine bestehende Website migrieren möchten, müssen Sie andere Elemente überprüfen, wie Weiterleitungen, gemischte Inhalte, interne Links, die Sitemap und die Google Search Console-Konfiguration. Es ist ein Prozess, der in einem spezifischen Leitfaden zur Migration von HTTP zu HTTPS behandelt werden sollte.

Wie man von HTTP zu HTTPS weiterleitet

Das Aktivieren des Zertifikats reicht nicht aus, damit alle Besuche die sichere Verbindung nutzen. Die HTTP-Version muss dauerhaft mit einem 301-Code auf dieselbe Adresse in HTTPS weiterleiten.

Zum Beispiel sollte http://example.com/contact direkt zu https://example.com/contact führen. Es ist nicht ratsam, alle alten Seiten zur Startseite zu senden, da die Entsprechung zwischen URLs verloren gehen würde.

Die Art und Weise, dies zu tun, hängt davon ab, wie die Website aufgebaut ist. In WordPress, PrestaShop, Joomla oder Moodle kann es aus dem CMS selbst oder mit den empfohlenen Optionen für jede Plattform konfiguriert werden. Auf einer individuell programmierten Website kann es auch aus der .htaccess-Datei erzwungen werden.

Überprüfen Sie wie Sie das SSL-Zertifikat gemäß Ihrem CMS konfigurieren. Bevor Sie .htaccess ändern oder ein Plugin installieren, machen Sie ein Backup und vermeiden Sie es, mehrere Weiterleitungen gleichzeitig zu aktivieren, da sie eine Schleife verursachen könnten.

Welches Zertifikat braucht Ihr Projekt

Eine Website, die eine einzelne Domain verwendet, muss normalerweise nicht für ein Wildcard- oder Multi-Domain-Zertifikat bezahlen.

Für die meisten Blogs, Portfolios und Unternehmensseiten reicht ein Domain-Validierungszertifikat aus. Dieser Zertifikatstyp überprüft, dass der Anforderer die Domain kontrolliert.

Die Wahl ändert sich, wenn das Projekt mehrere Subdomains verwendet. Ein Wildcard-Zertifikat kann Adressen wie abdecken:

• blog.example.com
• store.example.com
• clients.example.com

Wenn Sie völlig unterschiedliche Domains schützen müssen, kann ein Multi-Domain-Zertifikat geeigneter sein.

Es gibt auch Zertifikate, die Überprüfungen der anfordernden Organisation hinzufügen. Ihre Nützlichkeit hängt von den rechtlichen, technischen und kommerziellen Bedürfnissen des Projekts ab, nicht davon, dass sie notwendigerweise eine stärkere Verschlüsselung für eine konventionelle Website bieten.

In cdmon können Sie Zertifikate im Bereich Sicherheit → SSL-Zertifikate des Hostings einsehen und verwalten. Das Panel zeigt das für die Hauptdomain installierte Zertifikat an und ermöglicht die Überprüfung der zugehörigen Subdomains oder Aliase. Sie können auch zwischen dem kostenlosen Let’s Encrypt-Zertifikat und anderen SSL-Zertifikatmodalitäten wählen.

Wie man überprüft, ob HTTPS richtig funktioniert

Dass die Startseite über HTTPS geladen wird, beweist nicht, dass die gesamte Website gut konfiguriert ist.

Machen Sie einen schnellen Check:

• Geben Sie die Adresse beginnend mit http:// ein.
• Bestätigen Sie, dass sie bei derselben Adresse mit HTTPS endet.
• Öffnen Sie mehrere interne Seiten.
• Überprüfen Sie einige Formulare oder private Bereiche.
• Stellen Sie sicher, dass keine Bilder, Stile oder Schriftarten fehlen.
• Überprüfen Sie die Zertifikatsinformationen im Browser.

Eines der Probleme, die wir am häufigsten nach der Aktivierung von HTTPS antreffen, liegt nicht im Zertifikat. Manchmal ist es ein altes Bild, eine Vorlage oder eine Erweiterung, die immer noch versucht, einige Ressourcen über HTTP zu laden.

Die Startseite kann HTTPS korrekt verwenden, aber dieses einzelne Element kann eine Warnung verursachen oder dazu führen, dass die Seite nicht als vollständig sicher angesehen wird.

Dies ist als gemischter Inhalt bekannt: Die Hauptseite öffnet sich über HTTPS, fordert jedoch einige Bilder, Schriftarten, Stylesheets oder Skripte über HTTP an. Browser können vor dem Problem warnen oder aktive Ressourcen wie Skripte und Stylesheets blockieren.

Um es zu lokalisieren, öffnen Sie die Entwicklertools des Browsers und überprüfen Sie die Registerkarten Konsole und Netzwerk. Suchen Sie nach Anfragen, die mit http:// beginnen. Korrigieren Sie dann die URL im Inhalt, der Vorlage, dem Plugin oder der Datenbank, die sie generiert; es reicht nicht aus, die Warnung zu verbergen.

Sie können auch die Installation und Gültigkeit des Zertifikats mit SSL Shopper überprüfen und nach unsicheren Ressourcen mit Why No Padlock suchen. Es ist ratsam, mehrere Seiten zu überprüfen, nicht nur die Startseite, da gemischte Inhalte nur in einem bestimmten Eintrag, Formular oder Abschnitt auftreten können.

Sie sollten auch überprüfen, dass das Zertifikat alle verwendeten Adressen umfasst. Wenn eine Website mit und ohne www funktioniert, müssen beide Varianten abgedeckt sein. Dasselbe gilt für Subdomains.

Wenn ein Fehler wie ERR_SSL_PROTOCOL_ERROR auftritt, eine Warnung im Zusammenhang mit dem Zertifikat oder eine Weiterleitungsschleife, ist es nicht ratsam, Regeln zufällig hinzuzufügen. Der Ursprung kann im Server, im CMS, in einem Plugin, einem CDN oder in der eigenen Abdeckung des Zertifikats liegen.

Bevor Sie es als abgeschlossen betrachten

HTTPS schützt die Kommunikation zwischen Ihrer Website und ihren Besuchern. Es beseitigt nicht alle Bedrohungen, verhindert jedoch, dass Daten unverschlüsselt übertragen werden, und ermöglicht die Überprüfung, dass der Browser mit der angegebenen Domain verbunden ist.

Bevor Sie die Konfiguration als abgeschlossen betrachten, überprüfen Sie drei Dinge:

• HTTP-Adressen führen zu ihrem HTTPS-Äquivalent.
• Die Website lädt keine Bilder oder andere Dateien über HTTP.
• Das Zertifikat deckt alle verwendeten Domains und Subdomains ab.

In den cdmon-Hosting-Plänen können Sie das SSL-Zertifikat über das Kontrollpanel anfordern, aktivieren und verwalten. Wenn etwas nicht passt, von einem Zertifikat, das ein Subdomain nicht abdeckt, bis zu einer Website, die in eine Weiterleitungsschleife gerät, können Sie unsere Anleitungen konsultieren oder das 24/7-Support-Team kontaktieren.