Kapitola 6 · 6.4
Návštevníkov vždy presmerovať na https
Aj s certifikátom môže návštevník vašu stránku stále otvoriť cez http://, bez zámku. Preto všetkých automaticky presmerujte na https. Urobte to až vtedy, keď certifikát funguje: najprv si sami otvorte https://vašadoména.sk a https://www.vašadoména.sk a skontrolujte zámok.
Vynútiť presmerovanie na https
- Kliknite v sekcii Správca účtu na Domény a potom na názov vašej domény.
- Skontrolujte, či je zapnuté Zabezpečený protokol SSL (1). Len vtedy uvidíte nižšie uvedené možnosti.
- V sekcii SSL zapnite prepínač Vynútiť presmerovanie na https (2).
- Kliknite na UPRAVIŤ (4).
Od teraz sa každý, kto otvorí http://vašadoména.sk, automaticky presmeruje na https://vašadoména.sk.
HSTS
Nad tým sa nachádza HSTS s prepínačom Povoliť zabezpečenie prenosu HTTP s prísnym protokolom (3). Tým vaša stránka oznámi prehliadačom: odteraz ma otvárajte len cez https. To je o niečo bezpečnejšie ako samotné presmerovanie.
Na väčšine našich serverov webový server už štandardne posiela HSTS pre každú webovú stránku s https, s hodnotou max-age jeden rok. Vtedy nie je potrebné prepínač zapínať. Či vaša stránka už HSTS posiela, zistíte v teste na internet.nl. Viac vysvetlenia nájdete v článku HSTS a bezpečnostné hlavičky pre vašu webovú stránku.
Upozornenie: prepínač zapnite len vtedy, ak vaša stránka ešte neposiela HSTS, a až keď certifikáty pre všetky názvy fungujú. Prehliadače si HSTS pamätajú dlhý čas. Ak certifikát neskôr prestane fungovať, návštevníci nebudú môcť vašu stránku otvoriť vôbec, ani cez http. Ak si nie ste istí, nechajte prepínač vypnutý.
Alebo pomocou .htaccess alebo samotnej webovej stránky
Presmerovanie môžete nastaviť aj pomocou pravidla v .htaccess, alebo pomocou nastavenia či pluginu vo vašej webovej stránke. Používajte len jeden spôsob. Dve súčasné presmerovania (napríklad Vynútiť presmerovanie na https a zároveň pravidlo v .htaccess, ktoré funguje inak) niekedy spôsobia kruh: prehliadač vtedy hlási, že stránka nepresmerováva správne.
Vo WordPresse nastavte v sekcii Nastavenia, Všeobecné obidve adresy na https://. To je potrebné pre zámok bez upozornení (pozrite Žiadny zámok alebo 'nezabezpečené': riešenie problému mixed content).
Časté otázky
Vynútiť presmerovanie na https je zapnuté, no stále sa dostávam na nezabezpečenú stránku
- Váš prehliadač si môže pamätať starú stránku. Skúste súkromné okno.
- Nachádza sa v public_html súbor .htaccess s vlastnými pravidlami, ktoré presmerujú skôr, napríklad od cache pluginu? Tie majú niekedy prednosť. Vložte pravidlo pre https na začiatok súboru .htaccess, alebo nastavte, aby plugin presmerovával na https.
- Prichádza vaša stránka cez pointer alebo subdoménu? Zapnite https aj tam a uistite sa, že tento názov je zahrnutý v certifikáte.
Po zapnutí sa zobrazuje chyba „príliš veľa presmerovaní“
Vtedy sa dve nastavenia navzájom presmerovávajú, napríklad Vynútiť presmerovanie na https a nejaký plugin, alebo proxy Cloudflare s režimom SSL Flexible. Jedno z nich vypnite. Ak používate Cloudflare, zvoľte režim SSL Full (strict).