Capitolo 6 · 6.4
Reindirizzare sempre i visitatori a https
Anche con un certificato, un visitatore può ancora aprire il Suo sito tramite http://, senza il lucchetto. Faccia quindi reindirizzare tutti automaticamente a https. Lo faccia solo quando il certificato funziona: apra prima Lei stesso https://ilsuodominio.it e https://www.ilsuodominio.it e controlli il lucchetto.
Forza SSL con reindirizzamento https
- Clicchi in Gestione Account su Domini e poi sul nome del Suo dominio.
- Controlli che SSL sicuro (1) sia attivo. Solo in questo caso vedrà le opzioni qui sotto.
- In SSL attivi l'interruttore Forza SSL con reindirizzamento https (2).
- Clicchi su MODIFICA (4).
Da questo momento, chiunque apra http://ilsuodominio.it verrà automaticamente reindirizzato a https://ilsuodominio.it.
HSTS
Sopra si trova HSTS con l'interruttore Abilita la sicurezza di trasporto HTTP severa (3). Con questo il Suo sito comunica ai browser: da ora in poi aprimi solo tramite https. Questo è leggermente più sicuro del semplice reindirizzamento.
Sulla maggior parte dei nostri server, il webserver invia già HSTS di default per ogni sito web con https, con un max-age di un anno. In questo caso non deve attivare l'interruttore. Può verificare se il Suo sito invia già HSTS tramite il test di internet.nl. Maggiori spiegazioni sono disponibili in HSTS e intestazioni di sicurezza per il Suo sito web.
Attenzione: attivi l'interruttore solo se il Suo sito non invia ancora HSTS, e solo quando i certificati per tutti i nomi funzionano. I browser ricordano HSTS per molto tempo. Se in seguito il certificato non funziona più, i visitatori non potranno più aprire il Suo sito, nemmeno tramite http. In caso di dubbio, lasci l'interruttore disattivato.
Oppure con .htaccess o il Suo sito web stesso
Può anche effettuare il reindirizzamento con una regola in .htaccess, oppure con un'impostazione o un plugin nel Suo sito web. Ne usi solo uno. Due reindirizzamenti contemporanei (ad esempio Forza SSL insieme a una regola in .htaccess che funziona diversamente) a volte creano un ciclo: il browser segnala allora che la pagina non reindirizza correttamente.
In WordPress, in Impostazioni, Generale imposti entrambi gli indirizzi su https://. Questo è necessario per avere il lucchetto senza avvisi (vedere Nessun lucchetto o 'non sicuro': risolvere i contenuti misti).
Domande frequenti
Forza SSL è attivo, ma arrivo comunque al sito non protetto
- Il Suo browser potrebbe ricordare ancora la vecchia pagina. Provi con una finestra privata.
- In public_html c'è un file .htaccess con regole proprie che reindirizzano prima, ad esempio di un plugin di cache? Queste a volte hanno la precedenza. Metta la regola https all'inizio del file .htaccess, oppure faccia in modo che il plugin reindirizzi a https.
- Il Suo sito viene raggiunto tramite un puntatore o un sottodominio? In tal caso attivi https anche lì, e si assicuri che quel nome sia incluso nel certificato.
Dopo l'attivazione ricevo 'troppi reindirizzamenti'
In questo caso due impostazioni si rimandano a vicenda, ad esempio Forza SSL e un plugin, oppure il proxy di Cloudflare con la modalità SSL Flexible. Disattivi una delle due. Se utilizza Cloudflare, scelga la modalità SSL Full (strict).