Weiterleitung von http:// auf https://

Was geprüft

Abgerufen wird die Adresse über http://; ausgewertet wird der erste Weiterleitungsschritt. Unauffällig ist eine dauerhafte Weiterleitung (301 oder 308) direkt auf https:// derselben Domain; der Wechsel zwischen beispiel.de und www.beispiel.de ist dabei erlaubt. Nimmt der Server über http:// gar keine Verbindung an, trifft der Punkt nicht zu.

Wie relevant

Hoch, wenn die Seite über http:// ohne Weiterleitung ausgeliefert wird oder nie bei https:// ankommt. Mittel, wenn der erste Sprung auf http:// bleibt oder auf einen anderen Host führt. Niedrig bei vorübergehender Weiterleitung (302, 303, 307), weil die Verschlüsselung dann zwar erreicht wird, Browser und Suchmaschinen die Weiterleitung aber nicht als dauerhaft behandeln.

Warum

Viele Besucher tippen die Adresse ohne https:// ein oder folgen alten Links. Ohne Weiterleitung bleiben sie auf der unverschlüsselten Fassung. Für Suchmaschinen sind http:// und https:// zwei Adressen; eine dauerhafte Weiterleitung führt die Signale zusammen.

Wie beheben

Richten Sie eine 301-Weiterleitung von jeder http://-Adresse auf dieselbe Adresse unter https:// ein, Pfad und Parameter eingeschlossen. Bei Cloudflare genügt die Einstellung „Always Use HTTPS“. Leiten Sie in einem Schritt auf die Hauptadresse weiter, nicht über Umwege.

Nebenwirkung: Hinter einem Proxy oder CDN sieht der Server jede Anfrage als http://; eine einfache Regel erzeugt dann eine Endlosschleife. Werten Sie in diesem Fall die Kopfzeile X-Forwarded-Proto aus oder setzen Sie die Weiterleitung beim CDN. Browser speichern 301-Weiterleitungen lange; testen Sie deshalb zuerst mit curl -I http://beispiel.de/ und erst dann im Browser.

WordPress: Plugins wie „Really Simple SSL“ schreiben eigene Weiterleitungsregeln in die .htaccess. Doppelte Regeln (Plugin und Hand) erzeugen Umwege oder Schleifen; behalten Sie genau eine. Sicherheits- und Cache-Plugins schreiben die .htaccess oft selbst um und können eigene Kopfzeilen dabei entfernen oder doppelt setzen. Setzen Sie Kopfzeilen deshalb an genau einer Stelle (Plugin oder .htaccess außerhalb der Plugin-Blöcke „# BEGIN … # END“) und prüfen Sie nach jedem Plugin-Update mit curl -I.

Codebeispiel

Apache (.htaccess)

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

nginx

server {
    listen 80;
    listen [::]:80;
    server_name beispiel.de www.beispiel.de;
    return 301 https://$host$request_uri;
}

Cloudflare (Einstellung)

SSL/TLS → Edge-Zertifikate → „Always Use HTTPS“: Ein

Weiterführende Quellen

• https://developers.google.com/search/docs/crawling-indexing/301-redirects
• https://www.rfc-editor.org/rfc/rfc9110.html#name-redirection-3xx
• https://developers.cloudflare.com/ssl/edge-certificates/additional-options/always-use-https/