Verschlüsselung ist keine Option mehr. Browser markieren unverschlüsselte Seiten als nicht sicher, Formulare auf solchen Seiten mit einer zusätzlichen Warnung. Da Zertifikate kostenlos verfügbar und bei jedem seriösen Anbieter integriert sind, gibt es keinen Grund, darauf zu verzichten.
Der eigentliche Punkt ist nicht das Zertifikat, sondern die vollständige Einrichtung. Sehr viele Seiten haben ein gültiges Zertifikat und sind trotzdem halb unverschlüsselt erreichbar.
Welches Zertifikat
Domain-validiert. Geprüft wird nur, dass Sie die Domain kontrollieren. Kostenlos über Let’s Encrypt, bei praktisch jedem Anbieter mit einem Klick aktivierbar. Für Firmenwebsites, Portale und Shops vollständig ausreichend.
Organisations- oder erweitert validiert. Zusätzlich wird die Organisation geprüft. Kostet 50 bis mehrere hundert Euro jährlich. Browser stellen den Unterschied seit Jahren nicht mehr sichtbar dar, sodass der Werbeeffekt entfallen ist. Sinnvoll nur, wenn eine Zusage aus einer Vertrags- oder Branchenanforderung folgt.
Wildcard. Gilt für alle Unterdomains. Praktisch bei mehreren Unterdomains, ansonsten nicht nötig.
Für die Verschlüsselung selbst sind alle Varianten identisch. Der Unterschied liegt in der Prüfung des Antragstellers, nicht in der Sicherheit der Übertragung.
Vollständig einrichten: die vier Schritte
1. Zertifikat aktivieren. Im Kundenbereich des Anbieters, meist ein Schalter. Prüfen, ob es für alle Varianten gilt, also mit und ohne www.
2. Weiterleitung von HTTP auf HTTPS erzwingen. Damit ist die Seite nicht mehr unverschlüsselt erreichbar. Bei manchen Anbietern ein Schalter, sonst eine Regel in der Serverkonfiguration.
3. Eine Schreibweise als Original festlegen. Entweder example.de oder www.example.de. Die andere Variante leitet dauerhaft dorthin weiter. Damit gibt es genau eine erreichbare Adresse pro Seite, statt vier.
4. Interne Adressen umstellen. In der Datenbank eines CMS, in der Konfiguration und in eingebundenen Ressourcen. Sonst entstehen Mischinhalte.
Nach diesen Schritten sind vier Aufrufe zu testen: mit und ohne www, jeweils mit http und https. Alle vier müssen auf derselben verschlüsselten Adresse landen.
Mischinhalte finden
Eine verschlüsselt geladene Seite, die einzelne Ressourcen unverschlüsselt einbindet, erzeugt eine Warnung. Skripte und Stilangaben werden von Browsern blockiert, was zu Fehlern im Layout oder in Funktionen führt.
Ursachen, nach Häufigkeit:
- Fest eingetragene Bildadressen mit
httpin Inhalten - Eingebundene Skripte oder Schriften von fremden Servern mit
http - Hintergrundbilder in Stilangaben mit vollständiger
http-Adresse - Eingebettete Inhalte wie Karten oder Videos mit
http - Kanonische Angaben, die noch auf
httpzeigen
Gefunden werden sie über die Konsole der Browser-Entwicklerwerkzeuge, die jede blockierte Ressource meldet. Bei einem CMS hilft eine Suche in der Datenbank nach http:// mit der eigenen Domain.
Die Verlängerung
Kostenlose Zertifikate laufen 90 Tage und werden automatisch erneuert. Das funktioniert in der Regel geräuschlos, kann aber scheitern, etwa nach einer Konfigurationsänderung oder einem Domain-Transfer.
Ein abgelaufenes Zertifikat ist folgenschwer: Browser zeigen eine Vollbildwarnung, die die meisten Besucher nicht überklicken. Deshalb lohnt eine Überwachung, die vor dem Ablauf warnt. Viele Anbieter bieten das an, es gibt auch kostenlose externe Dienste dafür.
Was nach der Umstellung zu prüfen ist
- Alle vier Adressvarianten landen auf derselben verschlüsselten Adresse
- Keine Warnung in der Browser-Adressleiste
- Konsole zeigt keine blockierten Ressourcen
- Kanonische Angaben zeigen auf die verschlüsselte Originaladresse
- Sitemap enthält verschlüsselte Adressen
- In der Search Console ist die richtige Variante als Eigenschaft eingerichtet
- Formulare senden weiterhin, was nach jeder Serveränderung zu testen ist
- Interne Links zeigen direkt auf die Originaladresse, nicht auf eine weiterleitende
Der letzte Punkt ist eine Aufräumarbeit, die häufig unterbleibt: Interne Links, die auf eine weiterleitende Adresse zeigen, funktionieren, kosten aber bei jedem Klick einen zusätzlichen Schritt. Siehe Technisches SEO.