Preskoči na glavno vsebino
SL
Vodnik za selitev

Kako preseliti spletno mesto na HTTPS

Sama selitev vzame eno popoldne. Obisk spletnim mestom jemlje vrstni red korakov — preusmeritev, vklopljena še pred odpravo mešane vsebine, ali certifikat, ki ga nihče ne podaljša. Tukaj je zaporedje, ki se izogne obojemu.

Začnite s korakom 1 Izberite certifikat

Zakaj selitev ni več izbirna

HTTPS ni več prednost, ampak osnova. To so štiri stvari, ki se spremenijo, ko spletno mesto teče prek njega.

  • Nihče ne bere prometa

    Prijave, podatki iz obrazcev, piškotki in same strani so med obiskovalcem in vašim strežnikom šifrirani, zato jih deljeno omrežje Wi-Fi ali vozlišče na poti ne more prebrati ali prepisati.

  • In nihče jih ne prepiše

    Navaden promet HTTP je mogoče spremeniti med potjo — običajni izid so vrinjeni oglasi in prepisane povezave za prenos. Certifikat tak poseg razkrije.

  • Iskalniki to pričakujejo

    Google obravnava HTTPS kot razvrstitveni signal od leta 2014. Sam po sebi je majhen, a danes stoji ob meritvah izkušnje strani, za katere je HTTPS pogoj.

  • Sodobni splet ga zahteva

    HTTP/2, HTTP/3, service workers, geolokacija, vmesnika za kamero in mikrofon ter večina plačilnih povezav na nevarnem izvoru zavrnejo delovanje.

Selitev po korakih

Opravite jih po vrsti. Korake od 1 do 4 lahko izvedete na testni kopiji; korak 6 je tisti, ki spremembo objavi.

  1. Popišite vsako ime, ki ga strežete

    Naštejte vsako ime gostitelja, na katerem se spletno mesto odziva — golo domeno, www in vsako poddomeno, kot so shop, blog ali api. Certifikat jih mora pokriti vse, ime, odkrito po selitvi, pa pomeni ponovno izdajo. Zabeležite tudi tuje skripte, pisave in slike, ki jih vključujete; prav o njih govori korak 4.

  2. Izberite certifikat, ki jih pokrije

    Za eno ime zadošča certifikat za eno domeno, za nabor poddomen potrebujete nadomestnega, za nepovezane domene pa certifikat za več domen. Raven preverjanja je ločena odločitev: DV dokazuje nadzor nad domeno in je izdan v nekaj minutah, OV in EV pa preverita še podjetje za njo.

    Oglejte si certifikate in cene

  3. Ustvarite CSR, namestite certifikat, preverite verigo

    Ključ in zahtevo za podpis certifikata ustvarite na strežniku, kjer bosta shranjena, in zasebni ključ pustite tam. Po namestitvi preverite verigo, namesto da bi zaupali brskalniku, ki ga pač uporabljate — manjkajoč vmesni certifikat je v namiznem Chromu neviden, na starejšem Androidu pa usoden.

    Generator CSR Preverjanje SSL Popravljanje verige

  4. Odpravite mešano vsebino

    Stran, postrežena prek HTTPS, ki vir naloži prek HTTP, je mešana vsebina — brskalniki pa ne zgolj opozorijo: skripte, sloge in okvirje kar zavrnejo, slike, zvok in video pa tiho znova zahtevajo prek HTTPS in se sploh ne naložijo, če jih strežnik tam ne ponuja. Popravite sklice v predlogah, v zbirki podatkov in v CSS. Če se kaj še vedno ne naloži, si oglejte neuspelo zahtevo na zavihku Omrežje: strežnik, ki ga navaja, vam pove, ali ste spregledali naslov s http://, ali ta strežnik HTTPS sploh nima, ali pa zaščita pred hotlinkanjem potrebuje še obliko vaše domene s https:// na seznamu dovoljenih.

  5. Posodobite notranje povezave in kanonične oznake

    Notranje povezave, kanonične oznake, oznake hreflang, naslovi Open Graph in strukturirani podatki naj vsi kažejo na različico s https://. Zanašanje na preusmeritev pri notranjih povezavah deluje, a pri vsakem kliku porabi dodaten obhod in navzven še naprej objavljate stari naslov.

  6. Preusmerite HTTP na HTTPS s 301, nato dodajte HSTS

    Trajna preusmeritev 301 z vsakega naslova HTTP na njegovega dvojčka v HTTPS prenese nabrane razvrstitvene signale in novi naslov naredi za kanoničnega. Ko bo spletno mesto nekaj časa brez težav teklo na HTTPS, dodajte glavo Strict-Transport-Security, da brskalniki HTTP sploh nehajo poskušati — začnite s kratko vrednostjo max-age, ker glave skoraj ni mogoče preklicati.

  7. Obvestite iskalnike

    Spletno mesto s HTTPS dodajte kot ločeno lastnino v Google Search Console in Bing Webmaster Tools, oddajte sitemap, katerega naslovi so vsi https://, in preverite, da robots.txt novih strani ne blokira. Lastnine s HTTP ne odstranjujte: prav v njej spremljate, kako stari naslovi izginjajo. Če vodite seznam za orodje Disavow, ga naložite tudi v lastnino HTTPS — Search Console hrani en seznam na lastnino s predpono URL in ne prenese ničesar (za lastnine vrste domena orodje ne velja).

  8. Spremljajte prve tedne, nato skrbite za podaljšanje certifikata

    Pričakujte, da se bo indeksiranje selilo postopoma in ne čez noč; kratek upad, dokler sta znani obe različici, je običajen. Nato si datum poteka zapišite v koledar. Potekel certifikat pomeni celostransko opozorilo brskalnika in je najpogostejši način, da spletno mesto, ki se je uspešno preselilo na HTTPS, leto pozneje pade.

Preden rečete, da je končano

Šest preverb, ki ujamejo tisto, kar zgornji koraki navadno spregledajo.

  • Veriga certifikata je celovita in certifikat se ujema z zasebnim ključem na vsakem strežniku za razdelilnikom obremenitve.
  • Vsako ime gostitelja se razreši prek HTTPS, tudi oblika z www in brez www.
  • Nobena stran ne nalaga vira prek http:// — preverite strani člankov in blagajno, ne le domače strani.
  • Vsak naslov HTTP odgovori s 301 in ne z 302 ter pristane na ustrezni strani HTTPS, ne na domači strani.
  • Sitemap, robots.txt, kanonične oznake in strukturirani podatki nosijo naslove s https://.
  • Datum poteka je v koledarju osebe, ki pri vas še dela, ali pa je podaljšanje samodejno.

Vprašanja, ki se pojavijo med selitvijo

Brskalnik javlja, da povezava ni povsem varna. Zakaj?

Skoraj vedno gre za mešano vsebino: sama stran je postrežena prek HTTPS, nekaj na njej — slika, pisava, sledilni skript — pa se zahteva prek HTTP. Ne sodite po ikoni ob naslovu: Chrome je v različici 117 ključavnico pri vseh straneh zamenjal z ikono nastavitev, brskalniki, ki so ključavnico obdržali, pa jo vsak rišejo po svoje. Razvijalska konzola imenuje vir, ki je bil blokiran ali ga ni bilo mogoče preklopiti na HTTPS, naše preverjanje SSL pa pokaže, kako je s certifikatom.

Ali nas bo selitev stala obiska iz iskalnikov?

Kratek upad, dokler sta znani obe različici, je običajen in se popravi. Trajen padec je znak, da nekaj v koraku 5, 6 ali 7 ni dokončano — navadno preusmeritve 302 namesto 301, kanonične oznake, ki še vedno kažejo na http://, ali sitemap, ki ni bil nikoli znova oddan.

Zakaj plačati certifikat, če obstajajo brezplačni?

Šifriranje je enako. Plačate raven preverjanja — brezplačen certifikat dokazuje nadzor nad domeno in o podjetju nič — ter še jamstvo, oznako spletnega mesta, podporo, ko namestitev spodleti, in certifikate z daljšo veljavnostjo od 90 dni.

Kako se izognemo poteklemu certifikatu?

Če vaša platforma podpira ACME, podaljšanje avtomatizirajte, za rezervo pa si pustite opomnik v koledarju. Pred potekom vas obvestimo tudi mi, a obvestilo deluje le, če pride do nekoga, ki ta poštni predal še bere.

Pripravljeni na selitev?

Izberite certifikat, ki ustreza imenom s seznama iz koraka 1, ali nam pišite in jih uskladimo namesto vas.

Oglejte si certifikate in cene Postavite nam vprašanje

Podjetja v EU zunaj Nizozemske z veljavno identifikacijsko številko za DDV ne plačajo DDV-ja (obrnjena davčna obveznost), brez nje pa plačajo DDV svoje države; podjetja na Nizozemskem plačajo 21% DDV-ja; kupci v Združenem kraljestvu plačajo britanski DDV; kupci zunaj EU in Združenega kraljestva ne plačajo DDV-ja. Povzetek naročila pokaže vaš točen DDV, preden oddate naročilo.