Kapitel 6 · 6.4
Besökare alltid till https
Även med ett certifikat kan en besökare fortfarande öppna din webbplats via http://, utan hänglås. Skicka därför alla automatiskt vidare till https. Gör det först när certifikatet fungerar: öppna först själv https://dindomän.nl och https://www.dindomän.nl och kontrollera hänglåset.
Tvinga SSL med https-omdirigering
- Klicka under Kontohanterare på Domäner och sedan på ditt domännamn.
- Kontrollera att Säker SSL (1) är aktiverad. Endast då ser du alternativen nedan.
- Slå på knappen Tvinga SSL med https-omdirigering (2) under SSL.
- Klicka på BEWERKEN (4).
Från och med nu kommer alla som öppnar http://dindomän.nl automatiskt att skickas till https://dindomän.nl.
HSTS
Ovanför står HSTS med knappen Aktivera HTTP Strict Transport Security (3). Med den talar din webbplats om för webbläsare: öppna mig från och med nu endast via https. Det är lite säkrare än enbart omdirigering.
På de flesta av våra servrar skickar webbservern redan HSTS som standard för alla webbplatser med https, med en max-age på ett år. Då behöver du inte aktivera knappen. Om din webbplats redan skickar HSTS ser du i testet på internet.nl. Mer förklaring finns i HSTS och säkerhetsheaders för din webbplats.
Obs: aktivera knappen endast om din webbplats ännu inte skickar HSTS, och först när certifikaten för alla namn fungerar. Webbläsare kommer ihåg HSTS under lång tid. Om certifikatet senare inte fungerar kan besökare inte alls öppna din webbplats längre, inte heller via http. Är du osäker, låt knappen vara avstängd.
Eller med .htaccess eller din webbplats själv
Du kan också skicka vidare med en regel i .htaccess, eller med en inställning eller plugin i din webbplats. Använd bara en metod. Två omdirigeringar samtidigt (till exempel Tvinga SSL och även en regel i .htaccess som fungerar annorlunda) ger ibland en loop: webbläsaren meddelar då att sidan inte omdirigerar korrekt.
I WordPress ställer du under Inställningar, Allmänt in båda adresserna på https://. Det behövs för ett hänglås utan varningar (se Inget hänglås eller "ej säker": åtgärda blandat innehåll).
Vanliga frågor
Tvinga SSL är aktiverat, men jag kommer fortfarande till den oskyddade webbplatsen
- Din webbläsare kan fortfarande ha kvar den gamla sidan i minnet. Prova ett privat fönster.
- Finns det en .htaccess i public_html med egna regler som omdirigerar tidigare, till exempel från en cacheplugin? De går ibland före. Placera https-regeln högst upp i .htaccess, eller låt pluginet skicka till https.
- Kommer din webbplats in via en pekare eller subdomän? Aktivera https där också, och se till att det namnet finns med i certifikatet.
Efter aktivering får jag "för många omdirigeringar"
Då skickar två inställningar varandra fram och tillbaka, till exempel Tvinga SSL och ett plugin, eller Cloudflares proxy med SSL-läget Flexible. Stäng av en av de två. Använder du Cloudflare, välj då SSL-läget Full (strict).