HTTPS a certifikát: co hlídat, aby web nespadl kvůli vypršení

HTTPS je dnes samozřejmost a jeho absence patří mezi vážné nálezy. Zajímavější než samotné zapnutí jsou dvě věci, na které se zapomíná: co se stane, když certifikát vyprší, a jak přechod udělat tak, aby se neztratily pozice.

Co HTTPS řeší a co ne

• Řeší odposlech a podvržení obsahu cestou mezi serverem a prohlížečem.
• Neřeší bezpečnost samotného webu. Napadený web s platným certifikátem je pořád napadený web.
• Zámeček v adresním řádku neznamená, že je web důvěryhodný. Znamená jen, že je spojení šifrované. Podvodné weby mají certifikáty taky.

Přechod z HTTP na HTTPS bez ztráty

1. Nasaďte certifikát a ověřte, že web přes HTTPS funguje. Bezplatný certifikát od Let’s Encrypt stačí, u běžného webu nemá placený žádnou výhodu.
2. Opravte adresy v obsahu. Hromadná náhrada http://vasedomena.cz za https://vasedomena.cz v databázi. Pozor na serializovaná data, používejte nástroj, který si s nimi poradí.
3. Nastavte trvalé přesměrování z HTTP na HTTPS na úrovni serveru, jedním skokem.
4. Opravte kanonické adresy, aby ukazovaly na verzi s HTTPS.
5. Aktualizujte sitemapu a odkaz na ni v robots.txt.
6. Přidejte novou verzi do Search Console jako samostatnou vlastnost. Verze s HTTPS a bez něj jsou pro nástroj dvě různé věci.
7. Zkontrolujte smíšený obsah. V nástrojích pro vývojáře na kartě Console se vypíše všechno, co se načítá přes HTTP.
8. Teprve pak zapněte HSTS, nejprve s krátkou platností.

Nejčastější zdroje smíšeného obsahu

Hlídání platnosti

Většina certifikátů dnes platí devadesát dní a obnovuje se automaticky. Automatika ale občas selže a projeví se to až ve chvíli, kdy je web nedostupný.

• Nastavte upozornění aspoň čtrnáct dní před vypršením, ne den předem.
• Hlídejte i poddomény. Certifikát pro doménu nepokrývá poddomény, pokud není hvězdičkový.
• Po každé změně poskytovatele ověřte, že obnova pořád běží.
• Zkontrolujte celý řetěz certifikátů. Chybějící mezilehlý certifikát se v některých prohlížečích projeví a v jiných ne, takže se snadno přehlédne.

Co se stane, když certifikát vyprší

1. Prohlížeč zobrazí varovnou obrazovku. Podle měření ji překlikne jen menšina návštěvníků.
2. Robot stránku nestáhne a zaznamená chybu.
3. Při krátkém výpadku se nic zásadního nestane, index se nezmění.
4. Při výpadku delším než několik dní začnou stránky z indexu vypadávat a návrat trvá týdny.

Časté dotazy

Je HTTPS faktor hodnocení?

Ano, ale velmi slabý. Google ho označil za faktor v roce 2014 a od té doby opakuje, že váha je malá a rozhoduje jen mezi jinak rovnocennými výsledky. Praktický důvod pro HTTPS je jiný: prohlížeče u formulářů bez HTTPS zobrazují varování a část lidí web okamžitě opustí.

Co je smíšený obsah a proč vadí?

Stránka se načte přes HTTPS, ale některé prvky, typicky obrázky nebo skripty, se stahují přes nešifrované HTTP. Prohlížeč skripty a styly rovnou zablokuje, obrázky obvykle propustí s varováním. Vzniká to nejčastěji tak, že jsou v obsahu natvrdo zapsané staré adresy s http. Řeší se hromadnou náhradou v databázi.

Co dělat, když certifikát vypršel?

Obnovit ho, jak nejrychleji to jde. Prohlížeče zobrazí varovnou obrazovku, kterou většina lidí nepřeklikne, a robot stránku nestáhne. Když stav trvá dny, začnou stránky vypadávat z indexu. Prevence je automatická obnova a hlídání data platnosti s upozorněním aspoň dva týdny předem.