Κεφάλαιο 6 · 6.4
Επισκέπτες πάντα προς https
Ακόμα και με πιστοποιητικό, ένας επισκέπτης μπορεί να ανοίξει την ιστοσελίδα σας μέσω http://, χωρίς το λουκέτο. Στείλτε λοιπόν όλους αυτόματα προς https. Κάντε αυτό μόνο όταν το πιστοποιητικό λειτουργεί: ανοίξτε πρώτα εσείς οι ίδιοι https://yourdomain.gr και https://www.yourdomain.gr και ελέγξτε το λουκέτο.
Force SSL with https redirect
- Κάντε κλικ κάτω από το Account Manager στο Domains και κατόπιν στο όνομα του domain σας.
- Ελέγξτε αν το Secure SSL (1) είναι ενεργοποιημένο. Μόνο τότε θα δείτε τις παρακάτω επιλογές.
- Στο SSL, ενεργοποιήστε τον διακόπτη Force SSL with https redirect (2).
- Κάντε κλικ στο ΕΠΕΞΕΡΓΑΣΙΑ (4).
Από τώρα και στο εξής, όποιος ανοίγει το http://yourdomain.gr θα ανακατευθύνεται αυτόματα στο https://yourdomain.gr.
HSTS
Παραπάνω βρίσκεται το HSTS με τον διακόπτη Enable HTTP strict transport security (3). Με αυτόν, η ιστοσελίδα σας ενημερώνει τους browsers: ανοίξτε με από εδώ και στο εξής μόνο μέσω https. Αυτό είναι λίγο πιο ασφαλές από την απλή ανακατεύθυνση.
Στους περισσότερους servers μας, ο webserver στέλνει ήδη HSTS από προεπιλογή για κάθε ιστοσελίδα με https, με max-age ενός έτους. Σε αυτή την περίπτωση δεν χρειάζεται να ενεργοποιήσετε τον διακόπτη. Αν η ιστοσελίδα σας στέλνει ήδη HSTS, μπορείτε να το δείτε στη δοκιμή του internet.nl. Περισσότερες εξηγήσεις θα βρείτε στο HSTS en beveiligingsheaders voor je website.
Προσοχή: ενεργοποιήστε τον διακόπτη μόνο αν η ιστοσελίδα σας δεν στέλνει ακόμα HSTS, και μόνο όταν τα πιστοποιητικά για όλα τα ονόματα λειτουργούν. Οι browsers θυμούνται το HSTS για μεγάλο χρονικό διάστημα. Αν το πιστοποιητικό σταματήσει να λειτουργεί αργότερα, οι επισκέπτες δεν θα μπορούν πλέον να ανοίξουν καθόλου την ιστοσελίδα σας, ούτε μέσω http. Αν έχετε αμφιβολίες, αφήστε τον διακόπτη απενεργοποιημένο.
Ή με .htaccess ή με την ίδια την ιστοσελίδα σας
Μπορείτε επίσης να ανακατευθύνετε με έναν κανόνα στο .htaccess, ή με μια ρύθμιση ή plugin στην ιστοσελίδα σας. Χρησιμοποιήστε μόνο μία μέθοδο. Δύο ταυτόχρονες ανακατευθύνσεις (για παράδειγμα Force SSL και επίσης ένας κανόνας στο .htaccess που λειτουργεί διαφορετικά) μπορούν μερικές φορές να δημιουργήσουν βρόχο: ο browser τότε αναφέρει ότι η σελίδα δεν ανακατευθύνει σωστά.
Στο WordPress, θέστε στο Ρυθμίσεις, General και τις δύο διευθύνσεις σε https://. Αυτό είναι απαραίτητο για λουκέτο χωρίς προειδοποιήσεις (δείτε Χωρίς λουκέτο ή 'μη ασφαλές': επίλυση mixed content).
Συχνές ερωτήσεις
Το Force SSL είναι ενεργοποιημένο, αλλά συνεχίζω να βλέπω τη μη ασφαλή ιστοσελίδα
- Ο browser σας μπορεί να θυμάται ακόμα την παλιά σελίδα. Δοκιμάστε ένα ιδιωτικό παράθυρο.
- Υπάρχει στο public_html ένα .htaccess με δικούς του κανόνες που ανακατευθύνουν νωρίτερα, για παράδειγμα από ένα plugin cache; Αυτοί μερικές φορές έχουν προτεραιότητα. Τοποθετήστε τον κανόνα https στην κορυφή του .htaccess, ή αφήστε το plugin να ανακατευθύνει προς https.
- Η ιστοσελίδα σας έρχεται μέσω pointer ή subdomain; Ενεργοποιήστε και εκεί το https, και φροντίστε αυτό το όνομα να περιλαμβάνεται στο πιστοποιητικό.
Μετά την ενεργοποίηση λαμβάνω 'πάρα πολλές ανακατευθύνσεις'
Τότε δύο ρυθμίσεις στέλνουν η μία την άλλη πέρα δώθε, για παράδειγμα Force SSL και ένα plugin, ή ο proxy του Cloudflare με τη λειτουργία SSL Flexible. Απενεργοποιήστε μία από τις δύο. Αν χρησιμοποιείτε Cloudflare, επιλέξτε τη λειτουργία SSL Full (strict).