https și o redirecționare corectă

Modulul 4: Viteză, mobil și https · Timp de citire: 11 minute

Obiectivul lecției: După această lecție veți putea explica de ce contează https pentru motoarele de căutare și pentru vizitatori, veți putea numi diferența dintre o redirecționare permanentă și una temporară și veți putea verifica dacă toate variantele adresei dumneavoastră ajung într-un singur pas la aceeași pagină https.

Concepte cheie: https, certificat, redirecționare (redirect), 301 și 308 (permanentă), 302 și 307 (temporară), lanț de redirecționări, adresă preferată, cu www sau fără www, HSTS, conținut mixt

Patru adrese pentru o singură pagină principală

Dacă tastați numele unui site în bara de adrese, browserul poate ajunge în patru locuri:

Pentru dumneavoastră este un singur site. Pentru un motor de căutare sunt patru adrese diferite. Dacă toate patru afișează aceeași pagină, Google trebuie să aleagă singur care este adresa "adevărată". Google o numește adresa canonică (lecția 3.5 intră în detalii). Google recomandă să alegeți dumneavoastră o singură adresă ca adresă preferată și să redirecționați celelalte variante către ea. Astfel nu există nicio îndoială, iar linkurile către oricare variantă contează pentru aceeași pagină.

Bloemenatelier Lotte alege https://www.example.com/. Celelalte trei variante redirecționează către ea. Pentru motoarele de căutare nu contează dacă alegeți varianta cu sau fără www. Important este să faceți o singură alegere și să o respectați peste tot: în meniu, în sitemap, în canonical și în profilul firmei.

De ce https

https înseamnă că legătura dintre browser și server este criptată cu ajutorul unui certificat. Nimeni de pe traseu nu poate citi datele sau modifica ceva în pagină, de exemplu pe o rețea wifi publică.

Pentru motoarele de căutare, https contează în două moduri:

1. Ca semnal. În 2014, Google a anunțat că https este un semnal de clasare, dar l-a numit atunci "un semnal foarte slab", care cântărește mai puțin decât un conținut bun. În documentația despre experiența pe pagină, https apare ca una dintre întrebările pe care trebuie să vi le puneți ("sunt paginile dumneavoastră livrate în siguranță?"). Așadar, nu exagerați: https singur nu vă aduce pe primul loc.
2. Pentru vizitatori. Browserele afișează "Nesecurizat" lângă o pagină pe http, mai ales dacă aceasta conține un formular. Un vizitator care vede acest mesaj renunță mai repede. Veți observa acest lucru în numărul de vizite, nu într-o regulă de clasare.

Un certificat valid se poate obține astăzi gratuit prin Let's Encrypt. La majoritatea firmelor de hosting, inclusiv la WebOké, certificatul este solicitat și reînnoit automat. Aveți grijă ca certificatul să acopere ambele nume: fără și cu www. Dacă acoperă doar example.com, atunci https://www.example.com/ generează o eroare de certificat, chiar înainte ca redirecționarea să aibă loc.

Redirecționare permanentă sau temporară

O redirecționare (redirect) este un răspuns al serverului: "această pagină se află în altă parte". Acest lucru se face cu un cod de stare din trei cifre care începe cu 3, plus un antet Location cu noua adresă.

Potrivit Google Search Central, indexarea folosește o redirecționare permanentă ca semnal că destinația trebuie să devină canonică. La o redirecționare temporară acest lucru nu se întâmplă: adresa veche rămâne de obicei în rezultate. Trecerea de la http la https și alegerea între cu www și fără www sunt situații permanente. Folosiți deci 301 sau 308.

Puteți vedea singur o redirecționare. Într-un terminal:

$ curl -sI http://example.com/
HTTP/1.1 301 Moved Permanently
Location: https://www.example.com/

Sau în browser: deschideți instrumentele pentru dezvoltatori (F12), fila Rețea, activați opțiunea care păstrează jurnalul la încărcarea unei pagini noi și încărcați adresa http. Veți vedea fiecare pas cu codul său.

Lanțuri de redirecționări

Un lanț de redirecționări este o redirecționare către o adresă care, la rândul ei, redirecționează din nou. Un exemplu frecvent:

http://example.com/        301 → https://example.com/
https://example.com/       301 → https://www.example.com/
https://www.example.com/   200

Funcționează, dar la fiecare primă vizită costă un drum suplimentar dus-întors până la server. web.dev numește redirecționările drept una dintre cauzele unui prim răspuns lent al serverului (lecția 4.3): fiecare pas se adună, iar lanțurile cu atât mai mult. Este mai bine ca fiecare variantă să ajungă într-un singur pas la adresa preferată:

http://example.com/          301 → https://www.example.com/
http://www.example.com/      301 → https://www.example.com/
https://example.com/         301 → https://www.example.com/
https://www.example.com/     200

Pentru vechea adresă http cu celălalt nume, acest lucru nu reușește întotdeauna într-un singur pas, deoarece la unele configurări serverul trimite mai întâi la https cu același nume și abia apoi la celălalt nume. Doi pași sunt atunci acceptabili; trei sau mai mulți sunt un motiv să verificați setările. O buclă (A trimite la B, B trimite din nou la A) este întotdeauna o greșeală: pagina nu se mai deschide deloc.

HSTS: browserul ține minte

HSTS (HTTP Strict Transport Security, RFC 6797) este un antet pe care serverul îl trimite prin https:

Strict-Transport-Security: max-age=31536000

Un browser care l-a văzut o dată merge apoi direct la https pentru acest site, fără să mai încerce mai întâi http. Astfel se economisește prima redirecționare și vă protejează de persoanele care încearcă să intercepteze traficul. web.dev menționează HSTS și ca metodă de a evita redirecționarea de la http la https. Pentru motoarele de căutare, HSTS nu este un semnal; pentru vizitatorii dumneavoastră este o îmbunătățire. Activați-l doar după ce https funcționează corect pe toate numele, deoarece browserul îl reține atât timp cât indică max-age. Cursul WebOké despre siguranța online intră în mai multe detalii.

Conținut mixt

O pagină https care încarcă o imagine, un script sau o foaie de stil prin http:// are conținut mixt (mixed content). Browserele blochează scripturile și foile de stil nesigure sau afișează un avertisment. După trecerea la https, întâlniți adesea această problemă la imagini vechi din texte sau la o temă cu adrese fixe. Căutați în codul sursă src="http:// și href="http:// și înlocuiți-le cu https sau cu o adresă relativă.

În practică: configurarea redirecționării către https

La un pachet de hosting WebOké, activați redirecționarea către https în DirectAdmin, în setările domeniului (comutatorul "Force SSL with https redirect"), iar pe aceeași pagină alegeți la "Force redirect" dacă lucrați cu sau fără www. Folosiți un singur loc pentru redirecționare: două reguli care fac fiecare altceva (de exemplu în panou și într-un plugin) duc ușor la o buclă. Un site creat cu AI Builder primește la publicare un certificat și o adresă proprie. În WordPress, la Setări, General, completați Adresa WordPress și Adresa site-ului cu https:// și numele ales; redirecționarea propriu-zisă o configurați pe server. La alți furnizori și constructori de site-uri funcționează în mod similar, doar că butoanele au alte denumiri.

Dacă doriți să o faceți prin .htaccess (Apache sau LiteSpeed), codul următor trimite toate variantele într-un singur pas către https://www.example.com:

RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} !^www\.example\.com$ [NC]
RewriteRule ^ https://www.example.com%{REQUEST_URI} [R=301,L]

Verificați apoi întotdeauna toate cele patru variante, inclusiv cu o cale după adresă (http://example.com/contact): calea trebuie să se păstreze, nu să sară la pagina principală.

Rezumat

• Alegeți o singură adresă preferată (https, cu sau fără www) și redirecționați celelalte variante către ea.
• Pentru redirecționările permanente folosiți 301 sau 308; 302 și 307 sunt temporare și nu îi transmit lui Google niciun semnal despre adresa canonică.
• Faceți ca fiecare variantă să ajungă la adresa preferată într-un singur pas, cel mult doi; lanțurile costă timp, iar buclele blochează site-ul.
• Potrivit Google, https este un semnal de clasare slab; pentru vizitatori este în primul rând o chestiune de încredere. Certificatul trebuie să acopere ambele nume.
• HSTS face ca browserul să meargă singur la https; conținutul mixt îl eliminați după trecere.

Test

Exercițiu

Exercițiul A4.1: Se ajunge totul într-un singur pas la https? Introduceți numele domeniului dumneavoastră (fără www). Programul încearcă toate cele patru variante (http și https, cu și fără www), urmărește fiecare redirecționare pas cu pas și verifică certificatul pentru ambele nume. Pentru fiecare variantă vedeți lanțul cu codurile de stare, dacă toate ajung la aceeași adresă https și dacă există un antet HSTS. Nu aveți un site propriu? Folosiți rijksoverheid.nl.

Resurse suplimentare

Pașii din aceste articole se aplică panourilor WebOké; la alți furnizori funcționează în mod similar.

• Manual DirectAdmin 6.4: Vizitatorii întotdeauna direcționați către https
• Manual DirectAdmin 4.3: Setările unui domeniu: SSL, PHP, www și private_html
• Manual DirectAdmin 6.3: Certificat pentru www, subdomenii și wildcard
• Redirecționarea obligatorie a vizitatorilor către https
• Curs gratuit de DNS 3.4: www, redirecționare și ce nu face DNS
• Google Search Central, Redirects and Google Search: https://developers.google.com/search/docs/crawling-indexing/301-redirects
• Google Search Central Blog, HTTPS as a ranking signal (2014): https://developers.google.com/search/blog/2014/08/https-as-ranking-signal
• RFC 6797 (HSTS): https://www.rfc-editor.org/rfc/rfc6797