Login
Konto Erstellen
So stellen Sie Ihre Website auf HTTPS um
Die Umstellung selbst dauert einen Nachmittag. Traffic kostet Websites die Reihenfolge, in der die Schritte erledigt werden — eine Weiterleitung, die aktiviert wird, bevor der Mixed Content beseitigt ist, oder ein Zertifikat, das niemand erneuert. Hier ist die Abfolge, die beides vermeidet.
Warum die Umstellung nicht mehr optional ist
HTTPS ist kein Vorteil mehr, sondern der Standard. Diese vier Dinge ändern sich, wenn eine Website darüber ausgeliefert wird.
-
Niemand liest den Datenverkehr mit
Logins, Formulardaten, Cookies und die Seiten selbst werden zwischen Besucher und Ihrem Server verschlüsselt, sodass ein offenes WLAN oder eine Station auf dem Weg sie weder lesen noch verändern kann.
-
Und niemand verändert ihn
Einfaches HTTP lässt sich unterwegs verändern — eingeschleuste Werbung und umgeschriebene Download-Links sind das übliche Ergebnis. Mit einem Zertifikat wird diese Manipulation erkennbar.
-
Suchmaschinen setzen es voraus
Google wertet HTTPS seit 2014 als Rankingsignal. Für sich genommen ist es ein kleines, steht heute aber neben Page-Experience-Kennzahlen, für die HTTPS Voraussetzung ist.
-
Das moderne Web verlangt es
HTTP/2, HTTP/3, Service Worker, Geolocation, die Kamera- und Mikrofon-APIs sowie die meisten Zahlungsintegrationen verweigern den Dienst auf einer unsicheren Herkunft.
Die Umstellung Schritt für Schritt
Arbeiten Sie sie der Reihe nach ab. Die Schritte 1 bis 4 lassen sich auf einer Staging-Kopie erledigen; Schritt 6 ist der, der die Änderung öffentlich macht.
-
Erfassen Sie jeden Namen, den Sie ausliefern
Listen Sie jeden Hostnamen auf, unter dem die Website antwortet — die nackte Domain, www und jede Subdomain wie shop, blog oder api. Das Zertifikat muss sie alle abdecken, und ein Name, der erst nach der Umstellung auftaucht, bedeutet eine Neuausstellung. Notieren Sie außerdem alle eingebundenen Skripte, Schriften und Bilder von Dritten; um sie geht es in Schritt 4.
-
Wählen Sie ein Zertifikat, das sie abdeckt
Ein Name braucht ein Einzeldomain-Zertifikat, eine Reihe von Subdomains ein Wildcard-Zertifikat und nicht verwandte Domains ein Multidomain-Zertifikat. Die Validierungsstufe ist eine eigene Entscheidung: DV weist die Kontrolle über die Domain nach und wird in Minuten ausgestellt, OV und EV prüfen zusätzlich das dahinterstehende Unternehmen.
-
CSR erzeugen, Zertifikat installieren, Kette prüfen
Erzeugen Sie den Schlüssel und die Zertifikatsignieranforderung auf dem Server, der sie halten wird, und belassen Sie den privaten Schlüssel dort. Prüfen Sie nach der Installation die Kette, statt sich auf den gerade verwendeten Browser zu verlassen — ein fehlendes Zwischenzertifikat bleibt in Chrome auf dem Desktop unsichtbar und ist auf älteren Android-Geräten fatal.
-
Beseitigen Sie den Mixed Content
Eine über HTTPS ausgelieferte Seite, die eine Ressource über HTTP nachlädt, ist Mixed Content — und Browser warnen nicht nur: Skripte, Stylesheets und Iframes werden vollständig blockiert, während Bilder, Audio und Video still auf HTTPS umgestellt werden und gar nicht laden, wenn der Host sie dort nicht ausliefert. Korrigieren Sie die Verweise in den Templates, in der Datenbank und in Ihrem CSS. Lädt danach noch etwas nicht, lesen Sie die fehlgeschlagene Anfrage im Netzwerk-Tab: Der genannte Host verrät, ob Sie eine http://-URL übersehen haben, ob der Host überhaupt kein HTTPS kann oder ob der Hotlink-Schutz noch die https://-Form Ihrer Domain in seiner Freigabeliste braucht.
-
Aktualisieren Sie interne Links und Canonical-Tags
Interne Links, Canonical-Tags, hreflang-Tags, Open-Graph-URLs und strukturierte Daten sollten alle auf die https://-Version zeigen. Sich bei internen Links auf die Weiterleitung zu verlassen funktioniert zwar, kostet aber bei jedem Klick einen zusätzlichen Umlauf und lässt die alte URL diejenige bleiben, die Sie veröffentlichen.
-
HTTP per 301 auf HTTPS umleiten, dann HSTS ergänzen
Eine dauerhafte 301-Weiterleitung von jeder HTTP-URL auf ihr HTTPS-Gegenstück überträgt die angesammelten Rankingsignale und macht die neue Adresse zur kanonischen. Sobald die Website eine Weile problemlos über HTTPS läuft, ergänzen Sie den Strict-Transport-Security-Header, damit Browser HTTP gar nicht mehr versuchen — beginnen Sie mit einer kurzen max-age, denn der Header lässt sich nur schwer zurücknehmen.
-
Informieren Sie die Suchmaschinen
Legen Sie die HTTPS-Website als eigene Property in der Google Search Console und in den Bing Webmaster Tools an, reichen Sie eine Sitemap ein, deren URLs sämtlich https:// lauten, und stellen Sie sicher, dass robots.txt die neuen Seiten nicht blockiert. Entfernen Sie die HTTP-Property nicht: Dort beobachten Sie, wie die alten URLs verschwinden. Wenn Sie eine Disavow-Liste pflegen, laden Sie sie auch in die HTTPS-Property hoch — die Search Console hält eine Liste pro URL-Präfix-Property und überträgt nichts (für Domain-Propertys gilt das Tool nicht).
-
Beobachten Sie die ersten Wochen und halten Sie danach das Zertifikat erneuert
Rechnen Sie damit, dass sich die Indexierung nach und nach verschiebt und nicht über Nacht; ein kurzer Einbruch, solange beide Versionen bekannt sind, ist normal. Tragen Sie anschließend das Ablaufdatum in den Kalender ein. Ein abgelaufenes Zertifikat bedeutet eine seitenfüllende Browserwarnung und ist der häufigste Grund, warum eine erfolgreich auf HTTPS umgestellte Website ein Jahr später ausfällt.
Bevor Sie es als erledigt betrachten
Sechs Prüfungen, die aufdecken, was die Schritte oben meist übersehen.
- Die Zertifikatskette ist vollständig, und das Zertifikat passt auf jedem Server hinter dem Load Balancer zum privaten Schlüssel.
- Jeder Hostname ist über HTTPS erreichbar, einschließlich der Formen mit und ohne www.
- Keine Seite lädt eine http://-Ressource — prüfen Sie die Artikelseiten und den Bestellvorgang, nicht nur die Startseite.
- Jede HTTP-URL antwortet mit einer 301, nicht mit einer 302, und landet auf der passenden HTTPS-Seite statt auf der Startseite.
- Sitemap, robots.txt, Canonical-Tags und strukturierte Daten führen durchweg https://-URLs.
- Das Ablaufdatum steht im Kalender einer Person, die noch im Unternehmen ist, oder die Erneuerung läuft automatisch.
Fragen, die während der Umstellung aufkommen
Der Browser meldet, die Verbindung sei nicht vollständig sicher. Warum?
Fast immer Mixed Content: Die Seite selbst wird über HTTPS ausgeliefert, aber etwas darauf — ein Bild, eine Schrift, ein Tracking-Skript — wird über HTTP angefordert. Beurteilen Sie das nicht am Symbol neben der Adresse: Chrome hat das Schloss in Version 117 für alle Seiten durch ein Einstellungssymbol ersetzt, und die Browser, die ein Schloss behalten haben, zeichnen es jeweils anders. Die Entwicklerkonsole nennt die Ressource, die blockiert wurde oder sich nicht auf HTTPS umstellen ließ, und unser SSL-Checker zeigt die Zertifikatsseite davon.
Kostet uns die Umstellung Suchtraffic?
Ein kurzer Einbruch, solange beide Versionen bekannt sind, ist normal und erholt sich wieder. Ein anhaltender Rückgang ist ein Zeichen dafür, dass in Schritt 5, 6 oder 7 etwas unvollständig ist — meist 302- statt 301-Weiterleitungen, Canonical-Tags, die noch auf http:// zeigen, oder eine Sitemap, die nie erneut eingereicht wurde.
Warum für ein Zertifikat zahlen, wenn es kostenlose gibt?
Die Verschlüsselung ist identisch. Bezahlt wird die Validierungsstufe — ein kostenloses Zertifikat weist die Kontrolle über die Domain nach und nichts über das Unternehmen — dazu eine Garantie, ein Site Seal, Unterstützung, wenn eine Installation scheitert, und Zertifikate mit längerer Laufzeit als 90 Tage.
Wie vermeiden wir ein abgelaufenes Zertifikat?
Automatisieren Sie die Erneuerung, wenn Ihre Plattform ACME unterstützt, und behalten Sie eine Kalendererinnerung als Absicherung. Wir benachrichtigen Sie ebenfalls vor dem Ablauf, aber eine Benachrichtigung hilft nur, wenn sie jemanden erreicht, der dieses Postfach noch liest.
Bereit für die Umstellung?
Wählen Sie das Zertifikat, das zu den in Schritt 1 aufgelisteten Namen passt, oder fragen Sie uns — wir ordnen sie für Sie zu.
