https ja kunnollinen uudelleenohjaus

Moduuli 4: Nopeus, mobiili ja https · Lukuaika: 11 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat selittää, miksi https on tärkeä hakukoneille ja kävijöille, kertoa pysyvän ja tilapäisen uudelleenohjauksen eron sekä tarkistaa, että osoitteesi kaikki variantit päätyvät yhdellä askeleella samalle https-sivulle.

Keskeiset käsitteet: https, varmenne, uudelleenohjaus (redirect), 301 ja 308 (pysyvä), 302 ja 307 (tilapäinen), uudelleenohjausketju, ensisijainen osoite, www tai ilman www:tä, HSTS, sekasisältö

Neljä osoitetta yhdelle kotisivulle

Kun kirjoitat verkkosivuston nimen osoiteriville, selaimesi voi päätyä neljään eri paikkaan:

Sinulle se on yksi sivusto. Hakukoneelle ne ovat neljä eri osoitetta. Jos kaikki neljä näyttävät saman sivun, Googlen on itse valittava, mikä on "oikea" osoite. Google kutsuu sitä kanoniseksi osoitteeksi (oppitunti 3.5 käsittelee aihetta tarkemmin). Google suosittelee, että valitset itse yhden ensisijaisen osoitteen ja ohjaat muut variantit siihen. Silloin epäselvyyttä ei ole, ja linkit mihin tahansa varianttiin lasketaan samalle sivulle.

Bloemenatelier Lotte valitsee osoitteen https://www.example.com/. Kolme muuta varianttia ohjautuvat siihen. Hakukoneille ei ole väliä, valitsetko osoitteen www-alun kanssa vai ilman. Tärkeintä on, että teet yhden valinnan ja pidät siitä kiinni kaikkialla: valikossa, sivustokartassa, canonical-viittauksessa ja yritysprofiilissa.

Miksi https

https tarkoittaa, että selaimen ja palvelimen välinen yhteys on salattu varmenteen avulla. Kukaan matkan varrella ei voi lukea liikennettä tai muuttaa sivun sisältöä, esimerkiksi julkisessa wifi-verkossa.

Hakukoneille https merkitsee kahdella tavalla:

1. Signaalina. Google ilmoitti vuonna 2014, että https on sijoitukseen vaikuttava signaali, mutta kutsui sitä silloin "hyvin kevyeksi signaaliksi", joka painaa vähemmän kuin hyvä sisältö. Sivukokemusta käsittelevässä dokumentaatiossa https on yksi kysymyksistä, jotka sinun kannattaa esittää itsellesi ("toimitetaanko sivusi turvallisesti?"). Älä siis liioittele: pelkkä https ei nosta sinua kärkeen.
2. Kävijöille. Selaimet näyttävät http-sivun kohdalla merkinnän "Ei turvallinen", varsinkin jos sivulla on lomake. Kävijä, joka näkee sen, poistuu helpommin. Sen huomaat kävijämäärissä, et sijoitussäännöissä.

Kelvollisen varmenteen saa nykyään maksutta Let's Encryptin kautta. Useimmat palveluntarjoajat, myös WebOké, hakevat ja uusivat sen automaattisesti. Varmista, että varmenne kattaa molemmat nimet: sekä ilman www-alkua että sen kanssa. Jos se kattaa vain nimen example.com, osoite https://www.example.com/ antaa varmennevirheen jo ennen kuin uudelleenohjaus ehtii tapahtua.

Pysyvä vai tilapäinen uudelleenohjaus

Uudelleenohjaus (redirect) on palvelimen vastaus: "tämä sivu on muualla". Se tehdään kolminumeroisella tilakoodilla, joka alkaa numerolla 3, sekä Location-otsakkeella, jossa on uusi osoite.

Google Search Centralin mukaan indeksointi käyttää pysyvää uudelleenohjausta signaalina siitä, että kohteen pitäisi olla kanoninen. Tilapäisessä uudelleenohjauksessa näin ei tapahdu: vanha osoite jää yleensä hakutuloksiin. Siirtymä http:stä https:ään sekä valinta www:n ja ilman www:tä välillä ovat pysyviä. Käytä siis koodia 301 tai 308.

Voit nähdä uudelleenohjauksen itse. Päätteessä:

$ curl -sI http://example.com/
HTTP/1.1 301 Moved Permanently
Location: https://www.example.com/

Tai selaimessa: avaa kehittäjätyökalut (F12), siirry Verkko-välilehdelle, ota käyttöön asetus, joka säilyttää lokin uuden sivun latautuessa, ja lataa http-osoite. Näet silloin jokaisen askeleen koodeineen.

Uudelleenohjausketjut

Uudelleenohjausketju on uudelleenohjaus osoitteeseen, joka itse ohjaa taas eteenpäin. Yleinen esimerkki:

http://example.com/        301 → https://example.com/
https://example.com/       301 → https://www.example.com/
https://www.example.com/   200

Se toimii, mutta jokaisella ensimmäisellä käynnillä se vaatii ylimääräisen edestakaisen matkan palvelimelle. web.dev mainitsee uudelleenohjaukset yhtenä syynä palvelimen hitaaseen ensimmäiseen vastaukseen (oppitunti 4.3): jokainen askel lisää aikaa, ja ketjut vielä enemmän. Parempi on, että jokainen variantti päätyy yhdellä askeleella ensisijaiseen osoitteeseen:

http://example.com/          301 → https://www.example.com/
http://www.example.com/      301 → https://www.example.com/
https://example.com/         301 → https://www.example.com/
https://www.example.com/     200

Toisella nimellä olevan vanhan http-osoitteen kohdalla tämä ei aina onnistu yhdellä askeleella, koska joillain asetuksilla palvelin ohjaa ensin saman nimen https-osoitteeseen ja vasta sitten toiseen nimeen. Kaksi askelta on silloin hyväksyttävää; kolme tai useampi on syy tarkistaa asetukset. Silmukka (A ohjaa B:hen, B ohjaa takaisin A:han) on aina virhe: sivu ei silloin aukea lainkaan.

HSTS: selain muistaa sen

HSTS (HTTP Strict Transport Security, RFC 6797) on otsake, jonka palvelin lähettää https-yhteyden mukana:

Strict-Transport-Security: max-age=31536000

Kun selain on kerran nähnyt sen, se siirtyy tämän sivuston kohdalla jatkossa suoraan https:ään kokeilematta ensin http:tä. Se säästää ensimmäisen uudelleenohjauksen ja suojaa salakuuntelijoilta. web.dev mainitsee HSTS:n myös keinona välttää uudelleenohjaus http:stä https:ään. Hakukoneille HSTS ei ole signaali; kävijöillesi se on parannus. Ota se käyttöön vasta, kun https toimii kunnolla kaikilla nimillä, sillä selain muistaa sen niin kauan kuin max-age määrää. Tietoturvaa käsittelevä kurssimme kertoo aiheesta lisää.

Sekasisältö

Https-sivulla, joka lataa kuvan, skriptin tai tyylitiedoston http://-osoitteen kautta, on sekasisältöä (mixed content). Selaimet estävät suojaamattomat skriptit ja tyylitiedostot tai näyttävät varoituksen. Https:ään siirtymisen jälkeen tätä näkee usein teksteissä olevissa vanhoissa kuvissa tai teemoissa, joissa on kiinteitä osoitteita. Etsi lähdekoodista merkkijonot src="http:// ja href="http:// ja korvaa ne https-osoitteella tai suhteellisella osoitteella.

Käytännössä: uudelleenohjaus https:ään

WebOkén webhotellissa otat uudelleenohjauksen https:ään käyttöön DirectAdminissa verkkotunnuksen asetuksista (kytkin "Force SSL with https redirect"), ja samalla sivulla valitset kohdassa "Force redirect", käytätkö www-alkua vai et. Tee uudelleenohjaus yhdessä paikassa: kaksi sääntöä, jotka tekevät kumpikin eri asian (esimerkiksi hallintapaneelissa ja lisäosassa), aiheuttavat helposti silmukan. AI Builderilla tehty sivusto saa julkaistaessa varmenteen ja oman osoitteen. WordPressissä täytät kohdassa Asetukset, General WordPressin osoitteeseen ja sivuston osoitteeseen https:// ja valitsemasi nimen; itse uudelleenohjaus tehdään palvelimella. Muilla palveluntarjoajilla ja sivustotyökaluilla tämä toimii samaan tapaan, vain painikkeiden nimet vaihtelevat.

Jos haluat tehdä sen .htaccess-tiedostossa (Apache tai LiteSpeed), tämä ohjaa kaikki variantit yhdellä askeleella osoitteeseen https://www.example.com:

RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} !^www\.example\.com$ [NC]
RewriteRule ^ https://www.example.com%{REQUEST_URI} [R=301,L]

Tarkista sen jälkeen aina kaikki neljä varianttia, myös polun kanssa (http://example.com/contact): polun on säilyttävä, eikä ohjauksen pidä hypätä kotisivulle.

Yhteenveto

• Valitse yksi ensisijainen osoite (https, www:n kanssa tai ilman) ja ohjaa muut variantit siihen.
• Käytä pysyvissä uudelleenohjauksissa koodia 301 tai 308; 302 ja 307 ovat tilapäisiä eivätkä anna Googlelle signaalia kanonisesta osoitteesta.
• Ohjaa jokainen variantti ensisijaiseen osoitteeseen yhdellä, enintään kahdella askeleella; ketjut vievät aikaa ja silmukat rikkovat sivuston.
• Googlen mukaan https on kevyt sijoitussignaali; kävijöille se on ennen kaikkea luottamuskysymys. Varmenteen on katettava molemmat nimet.
• HSTS saa selaimen siirtymään itse https:ään; sekasisällön siivoat siirtymän jälkeen.

Tietovisa

Tehtävä

Tehtävä A4.1: Ohjautuuko kaikki yhdellä askeleella https-osoitteeseen? Kirjoita verkkotunnuksesi (ilman www-alkua). Ohjelma kokeilee kaikkia neljää varianttia (http ja https, www:n kanssa ja ilman), seuraa jokaista uudelleenohjausta askel askeleelta ja tarkistaa kummankin nimen varmenteen. Näet jokaisen variantin ketjun tilakoodeineen, päätyvätkö kaikki samaan https-osoitteeseen ja onko käytössä HSTS-otsake. Eikö sinulla ole omaa sivustoa? Käytä verkkotunnusta rijksoverheid.nl.

Lisälukemista

Näiden artikkelien ohjeet koskevat WebOkén hallintapaneeleja; muilla palveluntarjoajilla toiminta on samankaltaista.

• DirectAdmin-ohje 6.4: Kävijät aina https-osoitteeseen ohjaaminen
• DirectAdmin-ohje 4.3: Verkkotunnuksen asetukset: SSL, PHP, www ja private_html
• DirectAdmin-ohje 6.3: Sertifikaatti www tunnukselle, aliverkkotunnuksille ja wildcardille
• Ohjaa kävijät pakotetusti https-osoitteeseen
• Ilmainen DNS-kurssi 3.4: www, uudelleenohjaus ja mitä DNS ei tee
• Google Search Central, Redirects and Google Search: https://developers.google.com/search/docs/crawling-indexing/301-redirects
• Google Search Central Blog, HTTPS as a ranking signal (2014): https://developers.google.com/search/blog/2014/08/https-as-ranking-signal
• RFC 6797 (HSTS): https://www.rfc-editor.org/rfc/rfc6797
• Ilmainen kurssi: Turvallisesti verkossa yrittäjille 4.2: Verkkosivustosi: https, HSTS ja suojausotsikot
• Ilmainen WordPress-kurssi 3.1: Https ja sertifikaatti
• Ilmainen WordPress-kurssi 3.2: www, uudelleenohjaus ja sekasisältö