https og en god omdirigering

Modul 4: Hastighed, mobil og https · Læsetid: 11 minutter

Læringsmål: Efter denne lektion kan du forklare, hvorfor https tæller for søgemaskiner og besøgende, nævne forskellen på en permanent og en midlertidig omdirigering og kontrollere, at alle varianter af din adresse ender på den samme https-side i ét trin.

Nøglebegreber: https, certifikat, omdirigering (redirect), 301 og 308 (permanent), 302 og 307 (midlertidig), omdirigeringskæde, foretrukken adresse, www eller uden www, HSTS, blandet indhold

Fire adresser til én forside

Når du skriver navnet på et website i adresselinjen, kan din browser ende fire steder:

For dig er det ét website. For en søgemaskine er det fire forskellige adresser. Viser de alle fire den samme side, må Google selv vælge, hvilken der er den "rigtige" adresse. Google kalder det den kanoniske adresse (lektion 3.5 går mere i dybden med det). Google anbefaler, at du selv vælger én adresse som foretrukken adresse og omdirigerer de andre varianter dertil. Så er der ingen tvivl, og links til hver variant tæller med for den samme side.

Bloemenatelier Lotte vælger https://www.example.com/. De tre andre varianter omdirigerer dertil. Om du vælger med eller uden www, er ligegyldigt for søgemaskiner. Det vigtige er, at du træffer ét valg og holder dig til det overalt: i din menu, dit sitemap, din canonical og din virksomhedsprofil.

Hvorfor https

https betyder, at forbindelsen mellem browser og server er krypteret med et certifikat. Ingen undervejs kan læse med eller ændre noget på siden, for eksempel på et offentligt wifi.

For søgemaskiner tæller https på to måder:

1. Som signal. Google meddelte i 2014, at https er et rankingsignal, men kaldte det dengang "et meget let signal", der vejer mindre end godt indhold. I dokumentationen om sideoplevelse står https som et af de spørgsmål, du bør stille dig selv ("leveres dine sider sikkert?"). Overdriv det altså ikke: https alene bringer dig ikke til tops.
2. For besøgende. Browsere skriver "Ikke sikker" ved en side på http, især ved en formular. En besøgende, der ser det, falder hurtigere fra. Det mærker du i dine besøgstal, ikke i en rangeringsregel.

Et gyldigt certifikat kan i dag fås gratis via Let's Encrypt. Hos de fleste hostingfirmaer, også hos WebOké, bliver det bestilt og fornyet automatisk. Sørg for, at certifikatet dækker begge navne: uden og med www. Dækker det kun example.com, giver https://www.example.com/ en certifikatfejl, allerede før omdirigeringen kan ske.

Permanent eller midlertidig omdirigering

En omdirigering (redirect) er et svar fra serveren: "denne side ligger et andet sted". Det sker med en statuskode på tre cifre, der begynder med 3, plus en headerlinje Location med den nye adresse.

Ifølge Google Search Central bruger indekseringen en permanent omdirigering som signal om, at målet skal blive kanonisk. Ved en midlertidig omdirigering sker det ikke: den gamle adresse bliver som regel stående i resultaterne. For http til https og for www eller uden www er situationen varig. Brug derfor 301 eller 308.

Du kan selv se en omdirigering. I en terminal:

$ curl -sI http://example.com/
HTTP/1.1 301 Moved Permanently
Location: https://www.example.com/

Eller i din browser: åbn udviklerværktøjerne (F12), fanen Netværk, slå den indstilling til, der bevarer loggen, når en ny side indlæses, og indlæs http-adressen. Så ser du hvert trin med sin kode.

Omdirigeringskæder

En omdirigeringskæde er en omdirigering til en adresse, som selv omdirigerer videre. Et almindeligt eksempel:

http://example.com/        301 → https://example.com/
https://example.com/       301 → https://www.example.com/
https://www.example.com/   200

Det virker, men det koster en ekstra tur frem og tilbage til serveren ved hvert første besøg. web.dev nævner omdirigeringer som en af årsagerne til et langsomt første svar fra serveren (lektion 4.3): hvert trin lægges oven i, og kæder endnu mere. Det er bedre, at hver variant i ét trin ender på den foretrukne adresse:

http://example.com/          301 → https://www.example.com/
http://www.example.com/      301 → https://www.example.com/
https://example.com/         301 → https://www.example.com/
https://www.example.com/     200

For den gamle http-adresse med det andet navn lykkes det ikke altid i ét trin, fordi serveren med nogle indstillinger først sender til https på samme navn og først derefter til det andet navn. To trin er så acceptabelt; tre eller flere er en grund til at gennemgå indstillingerne. En løkke (A sender til B, B sender tilbage til A) er altid forkert: siden åbner så slet ikke.

HSTS: browseren husker det

HSTS (HTTP Strict Transport Security, RFC 6797) er en headerlinje, som serveren sender med over https:

Strict-Transport-Security: max-age=31536000

En browser, der har set den én gang, går derefter selv direkte til https for dette website uden først at prøve http. Det sparer den første omdirigering og beskytter mod nogen, der kigger med. web.dev nævner også HSTS som en måde at undgå omdirigeringen fra http til https på. For søgemaskiner er HSTS ikke et signal; for dine besøgende er det en forbedring. Slå det først til, når https virker korrekt på alle navne, for browseren husker det så længe, som max-age siger. Kurset Sikker online går mere i dybden med det.

Blandet indhold

En https-side, der indlæser et billede, et script eller et stylesheet via http://, har blandet indhold (mixed content). Browsere blokerer usikre scripts og stylesheets eller viser en advarsel. Efter skiftet til https ser du det ofte ved gamle billeder i tekster eller ved et tema med faste adresser. Søg i kildekoden efter src="http:// og href="http://, og erstat dem med https eller med en relativ adresse.

I praksis: opsæt omdirigering til https

Med en hostingpakke fra WebOké slår du omdirigeringen til https til i DirectAdmin under domænets indstillinger (kontakten "Gennemtving SSL med https-omdirigering"), og på samme side vælger du under "Gennemtving omdirigering", om du bruger adressen med eller uden www. Brug ét sted til omdirigeringen: to regler, der hver gør noget forskelligt (for eksempel i panelet og i et plugin), giver nemt en løkke. Et website, der er lavet med AI Builder, får et certifikat og en egen adresse, når det udgives. I WordPress udfylder du under Indstillinger, Generelt WordPress-adressen og webstedsadressen med https:// og dit valgte navn; selve omdirigeringen klarer du på serveren. Hos andre udbydere og websitebyggere fungerer det på samme måde, knapperne hedder bare noget andet.

Vil du gøre det via .htaccess (Apache eller LiteSpeed), sender dette alle varianter i ét trin til https://www.example.com:

RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} !^www\.example\.com$ [NC]
RewriteRule ^ https://www.example.com%{REQUEST_URI} [R=301,L]

Kontrollér derefter altid alle fire varianter, også med en sti bagefter (http://example.com/contact): stien skal bevares og må ikke springe til forsiden.

Opsummering

• Vælg én foretrukken adresse (https, med eller uden www), og omdiriger de andre varianter dertil.
• Brug 301 eller 308 til varige omdirigeringer; 302 og 307 er midlertidige og giver ikke Google et signal om den kanoniske adresse.
• Lad hver variant ende på den foretrukne adresse i ét trin, højst to; kæder koster tid, og løkker ødelægger websitet.
• https er ifølge Google et let rankingsignal; for besøgende handler det især om tillid. Certifikatet skal dække begge navne.
• HSTS får browseren til selv at gå til https; blandet indhold rydder du op i efter skiftet.

Quiz

Opgave

Opgave A4.1: Går alt til https i ét trin? Indtast dit domænenavn (uden www). Programmet prøver alle fire varianter (http og https, med og uden www), følger hver omdirigering trin for trin og kontrollerer certifikatet for begge navne. For hver variant ser du kæden med statuskoder, om de alle ender på den samme https-adresse, og om der er en HSTS-headerlinje. Har du ikke dit eget website? Brug rijksoverheid.nl.

Læs mere

Trinene i disse artikler gælder for WebOkés paneler; hos andre udbydere fungerer det på samme måde.

• DirectAdmin vejledning 6.4: Besøgende altid sende til https
• DirectAdmin vejledning 4.3: Indstillinger for et domæne: SSL, PHP, www og private_html
• DirectAdmin vejledning 6.3: Certifikat til www, underdomæner og wildcard
• Tving besøgende til at bruge https
• Gratis DNS-kursus 3.4: www, videresendelse og hvad DNS ikke gør
• Google Search Central, Redirects and Google Search: https://developers.google.com/search/docs/crawling-indexing/301-redirects
• Google Search Central Blog, HTTPS as a ranking signal (2014): https://developers.google.com/search/blog/2014/08/https-as-ranking-signal
• RFC 6797 (HSTS): https://www.rfc-editor.org/rfc/rfc6797