Was HTTPS macht

So funktioniert es

HTTPS ist HTTP über eine TLS-Verbindung (Transport Layer Security). Bevor die erste Seite übertragen wird, handeln Browser und Server einen Schlüssel aus. Alles danach ist verschlüsselt: Formulare, Passwörter, Cookies, auch die Adresse der Unterseite.

Damit der Browser weiß, dass am anderen Ende wirklich deine Website sitzt, zeigt der Server ein Zertifikat. Eine Zertifizierungsstelle hat darin bestätigt, dass der Schlüssel zu deinem Domainnamen gehört. Ist das Zertifikat abgelaufen, für einen anderen Namen ausgestellt oder von einer unbekannten Stelle, zeigt der Browser eine Warnung statt der Seite.

HTTPS ist die Grundlage für alle anderen Schutz-Header: Ohne verschlüsselte Verbindung könnte ein Angreifer sie unterwegs einfach entfernen.

Worauf es ankommt

• Gültiges Zertifikat für jeden Namen. Mit und ohne www: Beide Namen müssen im Zertifikat stehen, wenn beide erreichbar sind.
• Automatische Verlängerung. Zertifikate laufen nach einigen Monaten ab. Wer sie von Hand erneuert, vergisst es irgendwann.
• Umleitung von HTTP auf HTTPS. Wer die Adresse ohne https:// eintippt oder einem alten Link folgt, kommt über HTTP an. Eine dauerhafte Umleitung (Status 301) bringt ihn auf die verschlüsselte Seite.
• Erst auf denselben Host. Leite http://example.com zuerst auf https://example.com um und erst danach auf https://www.example.com. Nur so kann der Browser für den eingegebenen Namen HSTS lernen.
• Nie zurück auf HTTP. Eine HTTPS-Adresse, die auf http:// weiterleitet, hebt den Schutz wieder auf.
• Port 80 darf auch zu sein. Antwortet der Server über HTTP gar nicht, ist das sicher; alte http://-Links führen dann allerdings ins Leere.

So richtest du es ein

Bei den meisten Hostern ist ein kostenloses Zertifikat (meist von Let's Encrypt) mit einem Klick in der Verwaltung zu haben und verlängert sich von selbst. Betreibt deine Agentur oder du den Server selbst, übernimmt ein ACME-Client wie Certbot das Ausstellen und Verlängern.

Die Umleitung gehört in die Konfiguration des Webservers.

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Bei Apache passen die Zeilen auch in die .htaccess. Beide Beispiele behalten den Host bei, so wie es für HSTS nötig ist. Stell im CMS die Adresse der Website ebenfalls auf https:// um, sonst erzeugt es weiter Links auf HTTP.