Poglavlje 6 · 6.4
Posjetitelje uvijek usmjerite na https
Čak i s certifikatom, posjetitelj i dalje može otvoriti Vašu stranicu putem http://, bez lokota. Zato sve automatski preusmjerite na https. To učinite tek kad certifikat radi: prvo sami otvorite https://vašadomena.nl i https://www.vašadomena.nl i provjerite lokot.
Force SSL with https redirect
- Pod Account Manager kliknite na Domains, a zatim na naziv Vaše domene.
- Provjerite je li Secure SSL (1) uključen. Samo tada ćete vidjeti dolje navedene opcije.
- Pod SSL uključite prekidač Force SSL with https redirect (2).
- Kliknite na BEWERKEN (4).
Od sada će svatko tko otvori http://vašadomena.nl automatski biti preusmjeren na https://vašadomena.nl.
HSTS
Iznad toga nalazi se HSTS s prekidačem Enable HTTP strict transport security (3). Time Vaša stranica govori preglednicima: ubuduće me otvaraj samo putem https. To je nešto sigurnije od običnog preusmjeravanja.
Na većini naših poslužitelja web poslužitelj već prema zadanim postavkama šalje HSTS za svaku web stranicu s https, s max-age od godinu dana. Tada ne morate uključivati prekidač. Šalje li Vaša stranica već HSTS, možete provjeriti na testu internet.nl. Više objašnjenja nalazi se u članku HSTS i sigurnosna zaglavlja za Vašu web stranicu.
Napomena: prekidač uključite samo ako Vaša stranica još ne šalje HSTS, i tek kad certifikati za sve nazive rade. Preglednici pamte HSTS dulje vrijeme. Ako certifikat kasnije prestane raditi, posjetitelji uopće neće moći otvoriti Vašu stranicu, čak ni putem http. Ako niste sigurni, ostavite prekidač isključenim.
Ili putem .htaccess ili same web stranice
Preusmjeravanje možete postaviti i pravilom u .htaccess datoteci, ili putem postavke ili dodatka u Vašoj web stranici. Koristite samo jedan način. Dva istovremena preusmjeravanja (na primjer Force SSL i pravilo u .htaccess koje radi drugačije) ponekad stvaraju petlju: preglednik tada javlja da stranica ne preusmjerava ispravno.
U WordPressu pod Postavke, Općenito postavite obje adrese na https://. To je potrebno za lokot bez upozorenja (pogledajte Nema lokota ili 'nije sigurno': rješavanje mješovitog sadržaja).
Česta pitanja
Force SSL je uključen, a ja ipak dolazim na nezaštićenu stranicu
- Vaš preglednik možda još pamti staru stranicu. Pokušajte u privatnom prozoru.
- Postoji li u public_html datoteka .htaccess s vlastitim pravilima koja preusmjeravaju ranije, na primjer od dodatka za predmemoriju? Takva pravila ponekad imaju prednost. U tom slučaju stavite https pravilo na vrh .htaccess datoteke, ili neka dodatak preusmjerava na https.
- Dolazi li Vaša stranica putem pokazivača ili poddomene? U tom slučaju i tamo uključite https te provjerite je li taj naziv uključen u certifikat.
Nakon uključivanja dobivam poruku "previše preusmjeravanja"
Tada se dvije postavke međusobno preusmjeravaju, na primjer Force SSL i neki dodatak, ili Cloudflare proxy s SSL načinom Flexible. Isključite jednu od te dvije opcije. Ako koristite Cloudflare, odaberite SSL način Full (strict).