Інструкції

Як зробити примусовий HTTPS для всього сайту

Примусовий HTTPS означає, що будь-яка спроба відкрити сайт по http автоматично переводиться на захищену версію, а браузер надалі й не пробує http. Це потрібно, щоб не було доступної паралельної незахищеної копії сайту й дублів для пошуковиків. Складається з двох частин: редирект і заголовок HSTS.

Перевірте свій сайт

>

  1. Переконайтеся, що сертифікат покриває всі імена

    Перед примусовим HTTPS перевірте в cPanel SSL/TLS Status, що сертифікат діє і для голого домену, і для www, і для потрібних піддоменів. Інакше редирект приведе на версію без сертифіката, і буде помилка.

  2. Увімкніть редирект на https

    Додайте в .htaccess умову RewriteCond %{HTTPS} off і RewriteRule на https-версію того ж URL з [R=301,L]. У WordPress спершу пропишіть https-адресу в Settings > General, щоб не було циклу.

  3. Зведіть до одного канонічного хоста

    Оберіть одну головну версію (з www або без) і скеровуйте на неї. Достатньо одного редиректу http на https одразу на канонічний хост, без ланцюжка з двох-трьох стрибків.

  4. Додайте заголовок HSTS

    У .htaccess додайте Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains". Він каже браузеру щонайменше рік ходити на сайт тільки по https, навіть якщо хтось введе http вручну.

  5. Вмикайте includeSubDomains свідомо

    Директива includeSubDomains поширює правило на всі піддомени. Додавайте її, лише якщо кожен піддомен точно має робочий сертифікат, інакше вони стануть недоступні.

  6. Оновіть внутрішні посилання й почистіть кеш

    Замініть http-посилання в контенті на https (Better Search Replace або WP-CLI), скиньте кеш сторінок, LiteSpeed Cache і CDN. Так відвідувачі одразу підуть по https без зайвих редиректів.

Як перевірити результат

Введіть адресу з http і з кількома піддоменами: усе має вести на https без попереджень. Перевірте сертифікат і наявність заголовка HSTS SSL-чекером TechGuard, щоб підтвердити, що примусовий HTTPS справді ввімкнено.

Порада: Не ставте великий max-age у HSTS, поки не впевнені, що https працює стабільно: браузери запамʼятають правило, і швидко відкотити його не вийде.

Схожі інструкції

Знайшли проблеми?

Повільний хостинг, проблеми з SSL або сайт часто лежить? Переїжджайте на TomisHost: швидкий хостинг з безкоштовним SSL, щоденними бекапами та допомогою з переносом.

Хостинг TomisHost