HTTPS erreichbar

Was geprüft

Abgerufen wird die Startadresse über https:// und über http://. Unauffällig ist der Punkt, sobald eine Anfrage über https:// eine HTTP-Antwort erhält, gleich mit welchem Statuscode. Antwortet die Adresse auf keinem der beiden Wege, lautet das Ergebnis „nicht geprüft“.

Wie relevant

Kritisch, wenn die Seite nur über http:// antwortet. Ein kritischer Punkt begrenzt die Kategorie Sicherheit auf höchstens 49 von 100. Weiterleitung, HSTS, TLS, gemischte Inhalte und Cookie-Attribute werden dann nicht bewertet, weil sie aus diesem Punkt folgen.

Warum

Ohne HTTPS (verschlüsselte Verbindung über TLS) können Dritte im selben Netz mitlesen und Inhalte verändern, etwa Formulareingaben. Browser kennzeichnen solche Seiten als „nicht sicher“, und viele Browserfunktionen stehen nur über HTTPS zur Verfügung.

Wie beheben

Aktivieren Sie ein TLS-Zertifikat für die Domain, bei den meisten Hostern per Klick mit Let’s Encrypt und automatischer Verlängerung. Auf eigenen Servern übernimmt das ein ACME-Client wie certbot. Danach den Eingang über http:// dauerhaft auf https:// weiterleiten (siehe Prüfung „Weiterleitung von http:// auf https://“).

Nebenwirkung: Nach der Umstellung können fest eingetragene http://-Adressen von Bildern und Skripten gemischte Inhalte erzeugen. Hinter Cloudflare führt der Modus „Flexible“ häufig zu Weiterleitungsschleifen; nutzen Sie „Full (strict)“ mit gültigem Zertifikat auf dem Server. Testen Sie vorher mit curl -I https://beispiel.de/ und in einem privaten Browserfenster.

WordPress: Stellen Sie unter Einstellungen → Allgemein beide Adressen (WordPress-Adresse und Website-Adresse) auf https:// um, nachdem das Zertifikat aktiv ist. Alte http://-Adressen in Inhalten ersetzen Sie mit WP-CLI (wp search-replace), nicht per SQL.

Codebeispiel

Zertifikat mit certbot (eigener Server)

# Apache
sudo certbot --apache -d beispiel.de -d www.beispiel.de
# nginx
sudo certbot --nginx -d beispiel.de -d www.beispiel.de
# Verlängerung testen
sudo certbot renew --dry-run

nginx (HTTPS-Serverblock)

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name beispiel.de www.beispiel.de;
    ssl_certificate     /etc/letsencrypt/live/beispiel.de/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/beispiel.de/privkey.pem;
}

Cloudflare (Einstellung)

SSL/TLS → Übersicht → Verschlüsselungsmodus: „Full (strict)“
Voraussetzung: gültiges Zertifikat auf dem Ursprungsserver
(z. B. Let's Encrypt oder Cloudflare Origin Certificate).

Weiterführende Quellen

• https://developer.mozilla.org/en-US/docs/Glossary/HTTPS
• https://letsencrypt.org/getting-started/
• https://developers.cloudflare.com/ssl/origin-configuration/ssl-modes/