HTTPS für deine Website
Das Zertifikat bekommst du automatisch. So prüfst du, ob alles verschlüsselt läuft, und behebst die typischen Stolpersteine.
Du musst kein Zertifikat bestellen und keins verlängern. Sowohl bei WordPress als auch beim Webspace ist ein kostenloses Zertifikat für alle deine Domains enthalten. Es wird automatisch ausgestellt und vor Ablauf erneuert.
Wie viel du danach noch tun musst, hängt vom Produkt ab.
Bei WordPress: nichts zu tun
Hier läuft alles automatisch. Sobald deine Domain korrekt auf uns zeigt, wird sie verknüpft und das Zertifikat ausgestellt. Um Weiterleitungen musst du dich nicht kümmern.
Den Stand siehst du im Kundenportal: Kachel WordPress, deine Installation anklicken, dann die Karte Domains & SSL. Dort steht zu jeder Domain, ob sie aktiv ist.
Hakt es, liegt es fast immer am DNS-Eintrag der Domain, nicht am Zertifikat.
Beim Webspace: Weiterleitung setzen
Das Zertifikat kommt auch hier von allein. Deine Seite bleibt aber zusätzlich unter http erreichbar, bis du eine Weiterleitung einrichtest.
Ruf zuerst deine Seite mit https:// davor auf. Erscheint das Schlosssymbol ohne Warnung, ist das Zertifikat aktiv und du richtest nur noch die Weiterleitung ein.
Ist die Domain neu oder gerade erst umgezogen, dauert es einige Minuten, bis das Zertifikat ausgestellt ist. Warte kurz und ruf die Seite erneut auf, bevor du etwas änderst.
Wo die Einstellungen liegen
Die Einstellungen zu deinen Websites liegen nicht im Kundenportal, sondern in deinem Webhosting-Panel:
- Öffne im Kundenportal die Kachel Webspaces und klicke deinen Webspace an.
- Auf der Übersichtsseite steht unter Zugangsdaten dein Benutzername, das Passwort bekommst du über Passwort anzeigen.
- In der Seitenleiste klickst du auf Webhosting-Panel. Es öffnet sich in einem neuen Tab.
Dort findest du zu jeder Domain die Einstellungen rund um Verschlüsselung und Weiterleitungen. Es gibt eine Option, die alle Aufrufe dauerhaft von http auf https umleitet.
Alternativ über die .htaccess
Legst du die Regel lieber selbst an, kommt sie in die .htaccess im Wurzelverzeichnis deiner Website:
RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]Nutze einen der beiden Wege, nicht beide gleichzeitig. Sonst kann eine Endlosschleife entstehen.
Adresse in der Anwendung umstellen
Viele Anwendungen speichern ihre eigene Adresse. Bei WordPress steht sie unter Einstellungen → Allgemein. Trage in beiden Feldern die Adresse mit https ein.
Ändere das erst, wenn https nachweislich funktioniert. Sonst ist die Website vorübergehend nicht mehr erreichbar und du kommst auch nicht mehr in die Einstellungen.
Gemischte Inhalte
Das ist der häufigste Stolperstein. Bindet deine Seite auch nur ein Bild oder ein Skript über http ein, zeigt der Browser eine Warnung oder blockiert das Element.
So findest du die Stellen:
- Öffne die Seite und rufe die Entwicklerwerkzeuge des Browsers auf.
- Sieh dir die Konsole an. Blockierte Inhalte werden dort mit vollständiger Adresse genannt.
- Passe die Einbindung an.
Bei WordPress stecken alte Adressen oft in der Datenbank. Ein Suchen-und-Ersetzen-Werkzeug für WordPress ersetzt sie zuverlässig, auch in serialisierten Daten.
Wenn der Browser warnt
| Meldung | Ursache und Lösung |
|---|---|
| Zertifikat passt nicht zur Domain | Die Domain zeigt noch auf einen anderen Anbieter. Prüfe die DNS-Einträge |
Verbindung nicht sicher trotz https | Gemischte Inhalte, siehe oben |
| Zertifikat abgelaufen | Sollte nicht vorkommen, da automatisch erneuert wird. Erstelle ein Ticket über die Kachel Support |
| Warnung nur bei einer Subdomain | Die Subdomain ist noch nicht eingerichtet oder ihr DNS-Eintrag fehlt |
Nicht vergessen
| Bereich | Was anzupassen ist |
|---|---|
| Sitemap | Adressen mit https |
| Analysewerkzeuge | Neue Adresse als Eigenschaft anlegen |
| Eingebundene Dienste | Rückrufadressen auf https umstellen |
| E-Mail-Signaturen | Adresse aktualisieren |
Kontrolle
Rufe mehrere Unterseiten auf und achte auf das Schlosssymbol. Prüfe zusätzlich Formulare, den Anmeldebereich und die Ansicht auf dem Handy.
HSTS
Mit einem zusätzlichen Header weist du Browser an, deine Seite künftig nur noch verschlüsselt aufzurufen. Aktiviere das erst, wenn alles stabil läuft, denn Browser merken sich die Einstellung für längere Zeit.