https és a megfelelő átirányítás

Modul 4: Sebesség, mobil és https · Olvasási idő: 11 perc

Tanulási cél: A lecke után el tudja magyarázni, miért fontos a https a keresőmotorok és a látogatók számára, meg tudja nevezni az állandó és az ideiglenes átirányítás közötti különbséget, és ellenőrizni tudja, hogy a címe minden változata egyetlen lépésben ugyanarra a https-oldalra érkezik-e.

Kulcsfogalmak: https, tanúsítvány, átirányítás (redirect), 301 és 308 (állandó), 302 és 307 (ideiglenes), átirányítási lánc, előnyben részesített cím, www-vel vagy www nélkül, HSTS, vegyes tartalom

Négy cím egyetlen kezdőlaphoz

Ha beírja egy webhely nevét a címsorba, a böngészője négy helyre érkezhet:

Önnek ez egyetlen webhely. Egy keresőmotor számára viszont négy különböző cím. Ha mind a négy ugyanazt az oldalt adja, a Google-nak magának kell eldöntenie, melyik az „igazi” cím. Ezt a Google kanonikus címnek nevezi (a 3.5. lecke részletesebben foglalkozik vele). A Google azt javasolja, hogy Ön maga válasszon ki egy címet előnyben részesített címként, és irányítsa át oda a többi változatot. Így nincs kétség, és a bármelyik változatra mutató linkek ugyanannak az oldalnak számítanak.

A Bloemenatelier Lotte a https://www.example.com/ címet választja. A másik három változat ide irányít át. A keresőmotorok szempontjából mindegy, hogy www-vel vagy anélkül dönt. A lényeg, hogy egyetlen választást hozzon, és mindenhol tartsa magát hozzá: a menüben, a webhelytérképben, a canonicalban és a cégprofiljában (Google Business Profile).

Miért https

A https azt jelenti, hogy a böngésző és a szerver közötti kapcsolat egy tanúsítvánnyal titkosított. Útközben senki sem tudja elolvasni vagy megváltoztatni az oldal tartalmát, például egy nyilvános wifihálózaton.

A keresőmotorok számára a https kétféleképpen számít:

1. Jelzésként. A Google 2014-ben jelentette be, hogy a https rangsorolási jelzés, de akkor „nagyon gyenge jelzésnek” nevezte, amely kevesebbet nyom a latban, mint a jó tartalom. Az oldalélményről szóló dokumentációban a https azon kérdések egyike, amelyeket érdemes feltennie magának („biztonságosan jutnak el az oldalai a látogatókhoz?”). Ne becsülje tehát túl: a https önmagában nem juttatja az élre.
2. A látogatók miatt. A böngészők „Nem biztonságos” jelzést tesznek a http-n elérhető oldalak mellé, különösen ha űrlap van rajtuk. Az a látogató, aki ezt látja, hamarabb kilép. Ezt a látogatottságban veszi észre, nem egy rangsorolási szabályban.

Érvényes tanúsítványt ma ingyen lehet kapni a Let's Encrypt révén. A legtöbb tárhelyszolgáltatónál, így a WebOké-nál is, ezt automatikusan igénylik és megújítják. Ügyeljen arra, hogy a tanúsítvány mindkét nevet lefedje: a www nélkülit és a www-vel kezdődőt is. Ha csak az example.com nevet fedi le, a https://www.example.com/ tanúsítványhibát ad, még mielőtt az átirányítás megtörténhetne.

Állandó vagy ideiglenes átirányítás

Az átirányítás (redirect) a szerver válasza: „ez az oldal máshol található”. Ez egy háromjegyű, 3-mal kezdődő állapotkóddal történik, valamint egy Location fejléccel, amely az új címet tartalmazza.

A Google Search Central szerint az indexelés az állandó átirányítást annak jelzéseként használja, hogy a célnak kell kanonikussá válnia. Ideiglenes átirányításnál ez nem történik meg: a régi cím általában a találatok között marad. A http-ről https-re váltás és a www-vel vagy www nélkül való döntés tartós helyzet. Használjon tehát 301-es vagy 308-as kódot.

Egy átirányítást Ön is megnézhet. Terminálban:

$ curl -sI http://example.com/
HTTP/1.1 301 Moved Permanently
Location: https://www.example.com/

Vagy a böngészőjében: nyissa meg a fejlesztői eszközöket (F12), a Hálózat lapot, kapcsolja be azt a beállítást, amely új oldal betöltésekor is megőrzi a naplót, majd töltse be a http-címet. Ekkor minden lépést látni fog a kódjával együtt.

Átirányítási láncok

Az átirányítási lánc olyan átirányítás, amely egy olyan címre mutat, amely maga is továbbirányít. Gyakori példa:

http://example.com/        301 → https://example.com/
https://example.com/       301 → https://www.example.com/
https://www.example.com/   200

Ez működik, de minden első látogatáskor egy plusz oda-vissza utat jelent a szerverhez. A web.dev az átirányításokat a szerver lassú első válaszának egyik okaként említi (4.3. lecke): minden lépés hozzáadódik, a láncok pedig még inkább. Jobb, ha minden változat egyetlen lépésben érkezik az előnyben részesített címre:

http://example.com/          301 → https://www.example.com/
http://www.example.com/      301 → https://www.example.com/
https://example.com/         301 → https://www.example.com/
https://www.example.com/     200

A másik névvel megadott régi http-címnél ez nem mindig sikerül egy lépésben, mert bizonyos beállításoknál a szerver először ugyanannak a névnek a https-változatára irányít, és csak utána a másik névre. Ilyenkor a két lépés elfogadható; három vagy több lépés esetén érdemes átnézni a beállításokat. Az átirányítási hurok (A átirányít B-re, B pedig vissza A-ra) mindig hiba: az oldal ilyenkor egyáltalán nem nyílik meg.

HSTS: a böngésző megjegyzi

A HSTS (HTTP Strict Transport Security, RFC 6797) egy fejléc, amelyet a szerver a https-kapcsolaton küld el:

Strict-Transport-Security: max-age=31536000

Az a böngésző, amely ezt egyszer már látta, ezután ennél a webhelynél magától azonnal a https-t használja, anélkül hogy előbb a http-vel próbálkozna. Ez megspórolja az első átirányítást, és véd a kíváncsi szemek ellen. A web.dev a HSTS-t is említi a http-ről https-re történő átirányítás elkerülésének módjaként. A keresőmotorok számára a HSTS nem jelzés; a látogatóinak viszont javulást jelent. Csak akkor kapcsolja be, ha a https minden néven megfelelően működik, mert a böngésző addig emlékszik rá, ameddig a max-age előírja. Az online biztonságról szóló tanfolyamunk részletesebben foglalkozik ezzel.

Vegyes tartalom

Az a https-oldal, amely egy képet, szkriptet vagy stíluslapot http:// címről tölt be, vegyes tartalmat (mixed content) tartalmaz. A böngészők letiltják a nem biztonságos szkripteket és stíluslapokat, vagy figyelmeztetést jelenítenek meg. A https-re való átállás után ez gyakran előfordul a szövegekben lévő régi képeknél vagy a rögzített címeket használó sablonoknál. Keressen rá a forráskódban a src="http:// és a href="http:// részletekre, és cserélje le őket https-re vagy relatív címre.

A gyakorlatban: a https-átirányítás beállítása

A WebOké tárhelycsomagjainál a https-re irányítást a DirectAdminban, a domain beállításainál kapcsolhatja be („SSL kényszerítése HTTPS-átirányítással” kapcsoló), és ugyanezen az oldalon az „Átirányítás kényszerítése” résznél választhatja ki, hogy www-vel vagy anélkül működjön a webhely. Az átirányítást egyetlen helyen állítsa be: két szabály, amelyek mást-mást csinálnak (például egy a panelben és egy egy bővítményben), könnyen hurkot okoz. Az AI Builderrel készített webhely a közzétételkor tanúsítványt és saját címet kap. A WordPressben a Beállítások, Általános menüpontban adja meg a WordPress címét és a honlap címét https:// előtaggal és a választott névvel; magát az átirányítást a szerveren állítja be. Más szolgáltatóknál és weboldalkészítőknél ez hasonlóan működik, csak a gombok neve más.

Ha a .htaccess fájlon keresztül szeretné beállítani (Apache vagy LiteSpeed esetén), az alábbi szabály minden változatot egyetlen lépésben a https://www.example.com címre irányít:

RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} !^www\.example\.com$ [NC]
RewriteRule ^ https://www.example.com%{REQUEST_URI} [R=301,L]

Ezután mindig ellenőrizze mind a négy változatot, egy utána írt útvonallal is (http://example.com/contact): az útvonalnak meg kell maradnia, nem ugorhat a kezdőlapra.

Összefoglalás

• Válasszon ki egy előnyben részesített címet (https, www-vel vagy anélkül), és irányítsa oda a többi változatot.
• Tartós átirányításhoz használjon 301-es vagy 308-as kódot; a 302 és a 307 ideiglenes, és nem ad jelzést a Google-nak a kanonikus címről.
• Minden változat egy lépésben, legfeljebb kettőben érkezzen az előnyben részesített címre; a láncok időbe kerülnek, a hurkok pedig elrontják a webhelyet.
• A Google szerint a https gyenge rangsorolási jelzés; a látogatók számára főként bizalom kérdése. A tanúsítványnak mindkét nevet le kell fednie.
• A HSTS hatására a böngésző magától a https-t használja; a vegyes tartalmat az átállás után takarítsa el.

Kvíz

Feladat

Feladat A4.1: Egyetlen lépésben jut el minden a https-re? Adja meg a domainnevét (www nélkül). A program mind a négy változatot kipróbálja (http és https, www-vel és anélkül), lépésről lépésre követi az összes átirányítást, és ellenőrzi mindkét név tanúsítványát. Változatonként láthatja a láncot az állapotkódokkal, azt, hogy mindegyik ugyanarra a https-címre érkezik-e, és hogy van-e HSTS-fejléc. Nincs saját webhelye? Használja a rijksoverheid.nl címet.

További olvasnivaló

Az alábbi cikkekben leírt lépések a WebOké paneljeire vonatkoznak; más szolgáltatóknál hasonlóan működik.

• DirectAdmin útmutató 6.4: Látogatók átirányítása https-re
• DirectAdmin útmutató 4.3: Egy domain beállításai: SSL, PHP, www és private_html
• DirectAdmin útmutató 6.3: Tanúsítvány www, aldomain és wildcard részére
• Látogatók kötelező átirányítása https-re
• Ingyenes DNS-tanfolyam 3.4: www, átirányítás és amit a DNS nem tud
• Google Search Central, Redirects and Google Search: https://developers.google.com/search/docs/crawling-indexing/301-redirects
• Google Search Central Blog, HTTPS as a ranking signal (2014): https://developers.google.com/search/blog/2014/08/https-as-ranking-signal
• RFC 6797 (HSTS): https://www.rfc-editor.org/rfc/rfc6797