Όνομα χρήστη
Δημιουργία λογαριασμού
Πώς να μεταφέρετε τον ιστότοπό σας σε HTTPS
Η ίδια η μετάβαση θέλει ένα απόγευμα. Αυτό που κοστίζει επισκεψιμότητα στους ιστότοπους είναι η σειρά με την οποία γίνονται τα βήματα — μια ανακατεύθυνση που ενεργοποιείται πριν καθαριστεί το μεικτό περιεχόμενο ή ένα πιστοποιητικό που κανείς δεν ανανεώνει. Αυτή είναι η σειρά που αποφεύγει και τα δύο.
Γιατί η μετάβαση δεν είναι πια προαιρετική
Το HTTPS έπαψε να είναι πλεονέκτημα και έγινε η βάση. Αυτά είναι τα τέσσερα πράγματα που αλλάζουν όταν ένας ιστότοπος σερβίρεται έτσι.
-
Κανείς δεν διαβάζει την κίνηση
Τα στοιχεία σύνδεσης, τα δεδομένα των φορμών, τα cookie και οι ίδιες οι σελίδες ταξιδεύουν κρυπτογραφημένα ανάμεσα στον επισκέπτη και τον διακομιστή σας, ώστε ένα κοινόχρηστο δίκτυο Wi-Fi ή ένας κόμβος στη διαδρομή να μην μπορεί ούτε να τα διαβάσει ούτε να τα αλλάξει.
-
Ούτε τα ξαναγράφει κανείς
Το απλό HTTP μπορεί να τροποποιηθεί κατά τη μεταφορά — διαφημίσεις που εισάγονται και σύνδεσμοι λήψης που αλλάζουν είναι το συνηθισμένο αποτέλεσμα. Ένα πιστοποιητικό κάνει αυτή την παραποίηση ανιχνεύσιμη.
-
Οι μηχανές αναζήτησης το θεωρούν δεδομένο
Η Google αντιμετωπίζει το HTTPS ως παράγοντα κατάταξης από το 2014. Από μόνο του μετράει λίγο, αλλά σήμερα στέκεται δίπλα σε μετρήσεις εμπειρίας σελίδας για τις οποίες το HTTPS είναι προϋπόθεση.
-
Ο σύγχρονος ιστός το απαιτεί
Το HTTP/2, το HTTP/3, οι service workers, ο γεωεντοπισμός, τα API κάμερας και μικροφώνου και οι περισσότερες ενσωματώσεις πληρωμών αρνούνται να λειτουργήσουν σε μη ασφαλή προέλευση.
Η μετάβαση, βήμα προς βήμα
Ακολουθήστε τα με τη σειρά. Τα βήματα 1 έως 4 μπορούν να γίνουν σε ένα αντίγραφο staging· το βήμα 6 είναι εκείνο που κάνει την αλλαγή δημόσια.
-
Καταγράψτε κάθε όνομα που εξυπηρετείτε
Απαριθμήστε κάθε hostname στο οποίο απαντά ο ιστότοπος — τον σκέτο τομέα, το www και κάθε υποτομέα όπως shop, blog ή api. Το πιστοποιητικό πρέπει να τα καλύπτει όλα, και ένα όνομα που θα βρεθεί μετά τη μετάβαση σημαίνει επανέκδοση. Σημειώστε επίσης τα scripts, τις γραμματοσειρές και τις εικόνες τρίτων που ενσωματώνετε: αυτά αφορά το βήμα 4.
-
Επιλέξτε πιστοποιητικό που τα καλύπτει
Ένα όνομα χρειάζεται πιστοποιητικό ενός τομέα, ένα σύνολο υποτομέων χρειάζεται wildcard και άσχετοι μεταξύ τους τομείς χρειάζονται πιστοποιητικό πολλαπλών τομέων. Το επίπεδο ελέγχου είναι ξεχωριστή απόφαση: το DV αποδεικνύει τον έλεγχο του τομέα και εκδίδεται μέσα σε λεπτά, ενώ το OV και το EV ελέγχουν επιπλέον την εταιρεία πίσω από αυτόν.
-
Δημιουργήστε το CSR, εγκαταστήστε το πιστοποιητικό, ελέγξτε την αλυσίδα
Δημιουργήστε το κλειδί και την αίτηση υπογραφής πιστοποιητικού στον διακομιστή που θα τα φιλοξενήσει και κρατήστε εκεί το ιδιωτικό κλειδί. Μετά την εγκατάσταση ελέγξτε την αλυσίδα αντί να εμπιστευτείτε το πρόγραμμα περιήγησης που τυχαίνει να χρησιμοποιείτε: ένα ενδιάμεσο πιστοποιητικό που λείπει είναι αόρατο στον Chrome σε υπολογιστή και μοιραίο σε παλαιότερα Android.
-
Καθαρίστε το μεικτό περιεχόμενο
Μια σελίδα που σερβίρεται μέσω HTTPS και φορτώνει έναν πόρο μέσω HTTP είναι μεικτό περιεχόμενο (mixed content) — και τα προγράμματα περιήγησης δεν αρκούνται σε προειδοποίηση: τα scripts, τα φύλλα στυλ και τα iframes μπλοκάρονται εντελώς, ενώ οι εικόνες, ο ήχος και το βίντεο ζητούνται σιωπηλά ξανά μέσω HTTPS και δεν φορτώνουν καθόλου αν ο διακομιστής δεν τα σερβίρει εκεί. Διορθώστε τις αναφορές στα πρότυπα, στη βάση δεδομένων και στο CSS σας. Αν κάτι εξακολουθεί να μη φορτώνει, δείτε το αίτημα που απέτυχε στην καρτέλα δικτύου: ο διακομιστής που αναφέρεται σας λέει αν ξεχάσατε κάποιο http:// URL, αν ο διακομιστής δεν υποστηρίζει καθόλου HTTPS ή αν η προστασία από hotlinking χρειάζεται τη μορφή https:// του τομέα σας στη λίστα επιτρεπόμενων.
-
Ενημερώστε τους εσωτερικούς συνδέσμους και τις ετικέτες canonical
Οι εσωτερικοί σύνδεσμοι, οι ετικέτες canonical, οι ετικέτες hreflang, τα URL του Open Graph και τα δομημένα δεδομένα πρέπει να δείχνουν όλα στην έκδοση https://. Το να βασίζεστε στην ανακατεύθυνση για τους εσωτερικούς συνδέσμους λειτουργεί, αλλά ξοδεύει μια διαδρομή μετ’ επιστροφής σε κάθε κλικ και αφήνει το παλιό URL ως εκείνο που δημοσιεύετε.
-
Ανακατευθύνετε το HTTP σε HTTPS με 301 και μετά προσθέστε HSTS
Μια μόνιμη ανακατεύθυνση 301 από κάθε URL HTTP προς το αντίστοιχο HTTPS μεταφέρει τα συσσωρευμένα σήματα κατάταξης και κάνει τη νέα διεύθυνση κανονική. Αφού ο ιστότοπος τρέξει σε HTTPS χωρίς προβλήματα για ένα διάστημα, προσθέστε την κεφαλίδα Strict-Transport-Security ώστε τα προγράμματα περιήγησης να μη δοκιμάζουν καθόλου HTTP — ξεκινήστε με μικρό max-age, γιατί η κεφαλίδα δύσκολα παίρνεται πίσω.
-
Ενημερώστε τις μηχανές αναζήτησης
Προσθέστε τον ιστότοπο HTTPS ως ξεχωριστή ιδιοκτησία στο Google Search Console και στα Bing Webmaster Tools, υποβάλετε ένα sitemap με όλα τα URL σε https:// και βεβαιωθείτε ότι το robots.txt δεν μπλοκάρει τις νέες σελίδες. Μην αφαιρέσετε την ιδιοκτησία HTTP: εκεί παρακολουθείτε τα παλιά URL να αποσύρονται. Αν διατηρείτε λίστα disavow, ανεβάστε την και στην ιδιοκτησία HTTPS — το Search Console κρατά μία λίστα ανά ιδιοκτησία προθέματος URL και δεν μεταφέρει τίποτα (στις ιδιοκτησίες τομέα το εργαλείο δεν ισχύει).
-
Παρακολουθήστε τις πρώτες εβδομάδες και μετά κρατήστε το πιστοποιητικό ανανεωμένο
Περιμένετε ότι η ευρετηρίαση θα μετακινηθεί σταδιακά και όχι μέσα σε μια νύχτα· μια σύντομη πτώση όσο είναι γνωστές και οι δύο εκδόσεις είναι φυσιολογική. Έπειτα σημειώστε στο ημερολόγιο την ημερομηνία λήξης. Ένα ληγμένο πιστοποιητικό είναι μια προειδοποίηση του προγράμματος περιήγησης σε ολόκληρη τη σελίδα, και είναι ο πιο συνηθισμένος τρόπος με τον οποίο ένας ιστότοπος που πέρασε με επιτυχία σε HTTPS πέφτει έναν χρόνο αργότερα.
Πριν το θεωρήσετε τελειωμένο
Έξι έλεγχοι που πιάνουν όσα συνήθως ξεφεύγουν από τα παραπάνω βήματα.
- Η αλυσίδα του πιστοποιητικού είναι πλήρης και το πιστοποιητικό ταιριάζει με το ιδιωτικό κλειδί σε κάθε διακομιστή πίσω από τον εξισορροπητή φορτίου.
- Κάθε hostname απαντά μέσω HTTPS, τόσο στη μορφή με www όσο και σε εκείνη χωρίς.
- Καμία σελίδα δεν φορτώνει πόρο http:// — ελέγξτε τις σελίδες των άρθρων και το ταμείο, όχι μόνο την αρχική.
- Κάθε URL HTTP απαντά με 301 και όχι με 302, και καταλήγει στην αντίστοιχη σελίδα HTTPS αντί για την αρχική.
- Το sitemap, το robots.txt, οι ετικέτες canonical και τα δομημένα δεδομένα φέρουν όλα URL https://.
- Η ημερομηνία λήξης βρίσκεται στο ημερολόγιο κάποιου που εργάζεται ακόμη εδώ ή η ανανέωση είναι αυτοματοποιημένη.
Ερωτήσεις που προκύπτουν κατά τη μετάβαση
Το πρόγραμμα περιήγησης λέει ότι η σύνδεση δεν είναι πλήρως ασφαλής. Γιατί;
Σχεδόν πάντα πρόκειται για μεικτό περιεχόμενο: η σελίδα σερβίρεται μέσω HTTPS αλλά κάτι μέσα της — μια εικόνα, μια γραμματοσειρά, ένα script παρακολούθησης — ζητείται μέσω HTTP. Μην το κρίνετε από το εικονίδιο δίπλα στη διεύθυνση: ο Chrome αντικατέστησε το λουκέτο με εικονίδιο ρυθμίσεων για όλους τους ιστότοπους στην έκδοση 117, και όσα προγράμματα περιήγησης κράτησαν λουκέτο το σχεδιάζουν το καθένα αλλιώς. Η κονσόλα προγραμματιστή ονομάζει τον πόρο που μπλοκαρίστηκε ή δεν μπόρεσε να περάσει σε HTTPS, ενώ το δικό μας SSL Checker αναφέρει την πλευρά του πιστοποιητικού.
Θα μας κοστίσει η μετάβαση επισκεψιμότητα από την αναζήτηση;
Μια σύντομη πτώση όσο είναι γνωστές και οι δύο εκδόσεις είναι φυσιολογική και ανακάμπτει. Μια μόνιμη πτώση δείχνει ότι κάτι στα βήματα 5, 6 ή 7 έμεινε μισό — συνήθως ανακατευθύνσεις 302 αντί για 301, ετικέτες canonical που δείχνουν ακόμη σε http:// ή ένα sitemap που δεν υποβλήθηκε ποτέ ξανά.
Γιατί να πληρώσουμε για πιστοποιητικό όταν υπάρχουν δωρεάν;
Η κρυπτογράφηση είναι ίδια. Αυτό που πληρώνετε είναι το επίπεδο ελέγχου — ένα δωρεάν πιστοποιητικό αποδεικνύει τον έλεγχο του τομέα και τίποτα για την εταιρεία — συν την εγγύηση, το σήμα ιστότοπου, την υποστήριξη όταν μια εγκατάσταση αποτύχει και πιστοποιητικά που διαρκούν περισσότερο από 90 ημέρες.
Πώς αποφεύγουμε ένα ληγμένο πιστοποιητικό;
Αυτοματοποιήστε την ανανέωση αν η πλατφόρμα σας υποστηρίζει ACME και κρατήστε μια υπενθύμιση στο ημερολόγιο ως εφεδρεία. Σας ειδοποιούμε και εμείς πριν τη λήξη, αλλά μια ειδοποίηση πιάνει τόπο μόνο αν φτάσει σε κάποιον που διαβάζει ακόμη εκείνο το γραμματοκιβώτιο.
Έτοιμοι για τη μετάβαση;
Διαλέξτε το πιστοποιητικό που ταιριάζει στα ονόματα που καταγράψατε στο βήμα 1 ή ρωτήστε μας και θα τα αντιστοιχίσουμε εμείς.
