https och en bra omdirigering

Modul 4: Hastighet, mobil och https · Lästid: 11 minuter

Lärandemål: Efter den här lektionen kan du förklara varför https räknas för sökmotorer och besökare, beskriva skillnaden mellan en permanent och en tillfällig omdirigering och kontrollera att alla varianter av din adress hamnar på samma https-sida i ett steg.

Nyckelbegrepp: https, certifikat, omdirigering (redirect), 301 och 308 (permanent), 302 och 307 (tillfällig), omdirigeringskedja, föredragen adress, www eller utan www, HSTS, blandat innehåll

Fyra adresser för en startsida

Skriver du namnet på en webbplats i adressfältet kan din webbläsare hamna på fyra ställen:

För dig är det en webbplats. För en sökmotor är det fyra olika adresser. Visar alla fyra samma sida måste Google själv välja vilken som är den "riktiga" adressen. Google kallar den för den kanoniska adressen (lektion 3.5 går djupare in på det). Google rekommenderar att du själv väljer en adress som föredragen adress och omdirigerar de andra varianterna dit. Då finns det inget tvivel, och länkar till varje variant räknas till samma sida.

Bloemenatelier Lotte väljer https://www.example.com/. De tre andra varianterna omdirigerar dit. Om du väljer med eller utan www spelar ingen roll för sökmotorerna. Det viktiga är att du gör ett val och håller dig till det överallt: i din meny, din webbplatskarta, din canonical och din företagsprofil.

Varför https

https betyder att anslutningen mellan webbläsare och server är krypterad med ett certifikat. Ingen på vägen kan läsa med eller ändra något på sidan, till exempel på ett offentligt wifi.

För sökmotorer räknas https på två sätt:

1. Som signal. Google meddelade 2014 att https är en rankningssignal, men kallade det då "en mycket lätt signal" som väger mindre än bra innehåll. I dokumentationen om sidupplevelse finns https med som en av frågorna du ska ställa dig själv ("levereras dina sidor säkert?"). Överdriv det alltså inte: https ensamt tar dig inte till toppen.
2. För besökare. Webbläsare visar "Inte säker" vid en sida på http, särskilt vid ett formulär. En besökare som ser det lämnar snabbare. Det märks i dina besök, inte i en rankningsregel.

Ett giltigt certifikat får du i dag gratis via Let's Encrypt. Hos de flesta webbhotell, även hos WebOké, beställs och förnyas det automatiskt. Se till att certifikatet täcker båda namnen: utan och med www. Täcker det bara example.com ger https://www.example.com/ ett certifikatfel, redan innan omdirigeringen kan ske.

Permanent eller tillfällig omdirigering

En omdirigering (redirect) är ett svar från servern: "den här sidan finns någon annanstans". Det sker med en statuskod på tre siffror som börjar med en 3, plus en rubrikrad Location med den nya adressen.

Enligt Google Search Central använder indexeringen en permanent omdirigering som signal om att målet ska bli kanoniskt. Vid en tillfällig omdirigering sker inte det: den gamla adressen stannar oftast kvar i resultaten. För http till https och för www eller utan www är situationen bestående. Använd alltså 301 eller 308.

Du kan själv se en omdirigering. I en terminal:

$ curl -sI http://example.com/
HTTP/1.1 301 Moved Permanently
Location: https://www.example.com/

Eller i din webbläsare: öppna utvecklarverktygen (F12), fliken Nätverk, slå på alternativet som behåller loggen när en ny sida laddas, och ladda http-adressen. Då ser du varje steg med sin kod.

Omdirigeringskedjor

En omdirigeringskedja är en omdirigering till en adress som i sin tur omdirigerar vidare. Ett vanligt exempel:

http://example.com/        301 → https://example.com/
https://example.com/       301 → https://www.example.com/
https://www.example.com/   200

Det fungerar, men det kostar en extra tur och retur till servern vid varje första besök. web.dev nämner omdirigeringar som en av orsakerna till ett långsamt första svar från servern (lektion 4.3): varje steg läggs till, och kedjor ännu mer. Bättre är att varje variant i ett steg hamnar på den föredragna adressen:

http://example.com/          301 → https://www.example.com/
http://www.example.com/      301 → https://www.example.com/
https://example.com/         301 → https://www.example.com/
https://www.example.com/     200

För den gamla http-adressen med det andra namnet går det inte alltid i ett steg, eftersom servern med vissa inställningar först skickar till https för samma namn och först därefter till det andra namnet. Två steg är då godtagbart; tre eller fler är ett skäl att se över inställningarna. En loop (A skickar till B, B skickar tillbaka till A) är alltid fel: sidan öppnas då inte alls.

HSTS: webbläsaren kommer ihåg

HSTS (HTTP Strict Transport Security, RFC 6797) är en rubrikrad som servern skickar med över https:

Strict-Transport-Security: max-age=31536000

En webbläsare som har sett den en gång går därefter själv direkt till https för den här webbplatsen, utan att först prova http. Det sparar den första omdirigeringen och skyddar mot obehöriga som tittar med. web.dev nämner också HSTS som ett sätt att undvika omdirigeringen från http till https. För sökmotorer är HSTS ingen signal; för dina besökare är det en förbättring. Slå på det först när https fungerar för alla namn, eftersom webbläsaren kommer ihåg det så länge som max-age anger. Kursen Säker på nätet går vidare in på det.

Blandat innehåll

En https-sida som laddar en bild, ett skript eller en stilmall via http:// har blandat innehåll (mixed content). Webbläsare blockerar osäkra skript och stilmallar, eller visar en varning. Efter bytet till https ser du detta ofta vid gamla bilder i texter eller vid ett tema med fasta adresser. Sök i källkoden efter src="http:// och href="http:// och ersätt dem med https eller med en relativ adress.

I praktiken: ställ in omdirigering till https

Med ett webbhotellspaket från WebOké slår du på omdirigeringen till https i DirectAdmin under domänens inställningar (reglaget "Tvinga SSL med https-omdirigering"), och på samma sida väljer du under "Tvinga omdirigering" om du arbetar med eller utan www. Använd ett ställe för omdirigeringen: två regler som gör olika saker (till exempel i panelen och i ett tillägg) ger lätt en loop. En webbplats som är skapad med AI Builder får ett certifikat och en egen adress när den publiceras. I WordPress fyller du under Inställningar, Allmänt i WordPress-adressen och webbplatsadressen med https:// och ditt valda namn; själva omdirigeringen ordnar du på servern. Hos andra leverantörer och webbplatsbyggare fungerar det på liknande sätt, bara knapparna heter något annat.

Vill du göra det via .htaccess (Apache eller LiteSpeed) skickar detta alla varianter i ett steg till https://www.example.com:

RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} !^www\.example\.com$ [NC]
RewriteRule ^ https://www.example.com%{REQUEST_URI} [R=301,L]

Kontrollera därefter alltid alla fyra varianterna, även med en sökväg efter (http://example.com/contact): sökvägen ska behållas, inte hoppa till startsidan.

Sammanfattning

• Välj en föredragen adress (https, med eller utan www) och omdirigera de andra varianterna dit.
• Använd 301 eller 308 för bestående omdirigeringar; 302 och 307 är tillfälliga och ger Google ingen signal om den kanoniska adressen.
• Låt varje variant hamna på den föredragna adressen i ett steg, högst två; kedjor kostar tid och loopar får webbplatsen att sluta fungera.
• https är enligt Google en lätt rankningssignal; för besökare handlar det framför allt om förtroende. Certifikatet måste täcka båda namnen.
• HSTS får webbläsaren att själv gå till https; blandat innehåll rensar du upp efter bytet.

Quiz

Uppgift

Uppgift A4.1: Går allt i ett steg till https? Fyll i ditt domännamn (utan www). Programmet provar alla fyra varianterna (http och https, med och utan www), följer varje omdirigering steg för steg och kontrollerar certifikatet för båda namnen. För varje variant ser du kedjan med statuskoder, om alla hamnar på samma https-adress och om det finns en HSTS-rubrikrad. Ingen egen webbplats? Använd rijksoverheid.nl.

Läs mer

Stegen i de här artiklarna gäller för panelerna hos WebOké; hos andra leverantörer fungerar det på liknande sätt.

• DirectAdmin-guide 6.4: Besökare alltid till https
• DirectAdmin-guide 4.3: Inställningar för en domän: SSL, PHP, www och private_html
• DirectAdmin-guide 6.3: Certifikat för www, underdomäner och wildcard
• Tvinga besökare att omdirigeras till https
• Gratis DNS-kurs 3.4: www, vidarebefordran och vad DNS inte gör
• Google Search Central, Redirects and Google Search: https://developers.google.com/search/docs/crawling-indexing/301-redirects
• Google Search Central Blog, HTTPS as a ranking signal (2014): https://developers.google.com/search/blog/2014/08/https-as-ranking-signal
• RFC 6797 (HSTS): https://www.rfc-editor.org/rfc/rfc6797
• Gratis kurs Säkert online för företagare 4.2: Din webbplats: https, HSTS och säkerhetsheaders
• Gratis WordPress-kurs 3.1: Https och certifikatet
• Gratis WordPress-kurs 3.2: www, omdirigering och blandat innehåll