Přejít na hlavní obsah
CS
Průvodce přechodem

Jak převést web na HTTPS

Samotný přechod zabere jedno odpoledne. Návštěvnost webům bere pořadí, v jakém se kroky dělají — přesměrování zapnuté dřív, než je odstraněný smíšený obsah, nebo certifikát, který nikdo neobnoví. Tady je postup, který se vyhne obojímu.

Začněte krokem 1 Vyberte certifikát

Proč už přechod není volitelný

HTTPS přestalo být výhodou a stalo se základem. Tohle jsou čtyři věci, které se změní, jakmile web běží přes něj.

  • Nikdo nečte provoz

    Přihlášení, data z formulářů, cookies i samotné stránky jsou mezi návštěvníkem a vaším serverem zašifrované, takže je sdílená síť Wi-Fi ani uzel na trase nepřečte ani nepřepíše.

  • Ani je nikdo nepřepíše

    Prostý provoz HTTP lze cestou upravit — obvyklým výsledkem jsou vložené reklamy a přepsané odkazy ke stažení. Certifikát takový zásah odhalí.

  • Vyhledávače to očekávají

    Google považuje HTTPS za hodnoticí signál od roku 2014. Sám o sobě je malý, ale dnes stojí vedle metrik dojmu ze stránky, pro které je HTTPS podmínkou.

  • Moderní web ho vyžaduje

    HTTP/2, HTTP/3, service workers, geolokace, rozhraní pro kameru a mikrofon i většina platebních integrací na nezabezpečeném původu odmítnou běžet.

Přechod krok za krokem

Projděte je popořadě. Kroky 1 až 4 se dají udělat na testovací kopii; krok 6 je ten, kterým se změna zveřejní.

  1. Sepište každé jméno, které web obsluhuje

    Vypište každý název hostitele, na kterém web odpovídá — holou doménu, www a každou subdoménu jako shop, blog nebo api. Certifikát je musí pokrýt všechny a jméno objevené až po přechodu znamená znovuvydání. Poznamenejte si i cizí skripty, písma a obrázky, které vkládáte; právě o nich je krok 4.

  2. Vyberte certifikát, který je pokryje

    Na jedno jméno stačí certifikát pro jednu doménu, na sadu subdomén je potřeba wildcard a na nesouvisející domény certifikát pro více domén. Úroveň ověření je samostatné rozhodnutí: DV prokazuje kontrolu nad doménou a vydá se během minut, OV a EV navíc ověří firmu, která za ní stojí.

    Zobrazit certifikáty a ceny

  3. Vygenerujte CSR, nainstalujte certifikát, ověřte řetězec

    Klíč i žádost o podpis certifikátu vytvořte na serveru, kde budou uložené, a soukromý klíč nechte tam. Po instalaci zkontrolujte řetězec, místo abyste věřili prohlížeči, který zrovna používáte — chybějící mezilehlý certifikát je v desktopovém Chrome neviditelný a na starším Androidu osudný.

    Generátor CSR Kontrola SSL Oprava řetězce

  4. Odstraňte smíšený obsah

    Stránka doručená přes HTTPS, která načítá prostředek přes HTTP, je smíšený obsah — a prohlížeče nejen varují: skripty, styly a rámce rovnou zablokují, zatímco obrázky, zvuk a video tiše zkusí znovu přes HTTPS a nenačtou se vůbec, pokud je server přes HTTPS nenabízí. Opravte odkazy v šablonách, v databázi i v CSS. Pokud se něco stále nenačítá, přečtěte si neúspěšný požadavek na kartě Síť — server, který uvede, vám řekne, zda jste přehlédli adresu s http://, zda daný server HTTPS vůbec nemá, nebo zda je do seznamu povolených v ochraně proti hotlinkování potřeba přidat https:// tvar vaší domény.

  5. Aktualizujte interní odkazy a kanonické značky

    Interní odkazy, kanonické značky, značky hreflang, adresy Open Graph i strukturovaná data mají všechny mířit na verzi s https://. Spoléhat u interních odkazů na přesměrování funguje, ale stojí jedno kolo navíc při každém kliknutí a ven publikujete dál starou adresu.

  6. Přesměrujte HTTP na HTTPS pomocí 301 a pak přidejte HSTS

    Trvalé přesměrování 301 z každé adresy HTTP na její dvojče v HTTPS přenese nasbírané hodnoticí signály a udělá z nové adresy tu kanonickou. Až web nějakou dobu poběží na HTTPS bez potíží, přidejte hlavičku Strict-Transport-Security, aby prohlížeče přestaly HTTP vůbec zkoušet — začněte krátkou hodnotou max-age, protože hlavičku lze jen těžko vzít zpět.

  7. Dejte vědět vyhledávačům

    Přidejte web s HTTPS jako samostatnou službu v Google Search Console a Bing Webmaster Tools, odešlete sitemap, jehož adresy jsou všechny https://, a ujistěte se, že robots.txt nové stránky neblokuje. Službu s HTTP nemažte: právě v ní sledujete, jak staré adresy mizí. Pokud vedete seznam pro nástroj Disavow, nahrajte jej i do služby HTTPS — Search Console uchovává jeden seznam na službu s předponou URL a nic mezi nimi nepřenáší (na služby typu doména se nástroj nevztahuje).

  8. Sledujte první týdny a pak hlídejte obnovu certifikátu

    Počítejte s tím, že se indexace přesune postupně, ne přes noc; krátký propad, dokud jsou známé obě verze, je normální. Pak si datum vypršení poznamenejte do diáře. Prošlý certifikát znamená celostránkové varování prohlížeče a je to nejčastější způsob, jak web, který na HTTPS přešel úspěšně, o rok později spadne.

Než to prohlásíte za hotové

Šest kontrol, které zachytí to, co kroky výše obvykle minou.

  • Řetězec certifikátu je úplný a certifikát odpovídá soukromému klíči na každém serveru za nástrojem pro vyvažování zátěže.
  • Každý název hostitele se přeloží přes HTTPS, včetně tvaru s www i bez www.
  • Žádná stránka nenačítá zdroj přes http:// — zkontrolujte stránky článků a pokladnu, nejen úvodní stránku.
  • Každá adresa HTTP odpovídá kódem 301, ne 302, a míří na odpovídající stránku v HTTPS, ne na úvodní stránku.
  • Sitemap, robots.txt, kanonické značky i strukturovaná data nesou adresy s https://.
  • Datum vypršení je v kalendáři člověka, který u vás stále pracuje, nebo je obnova automatizovaná.

Otázky, které při přechodu zaznívají

Prohlížeč hlásí, že spojení není plně zabezpečené. Proč?

Téměř vždy jde o smíšený obsah: samotná stránka jde přes HTTPS, ale něco na ní — obrázek, písmo, měřicí skript — se načítá přes HTTP. Neposuzujte to podle ikony vedle adresy: Chrome ve verzi 117 nahradil zámek ikonou nastavení u všech webů a prohlížeče, které si zámek ponechaly, jej kreslí každý jinak. Vývojářská konzole pojmenuje prostředek, který byl zablokován nebo se nepodařilo přepnout na HTTPS, a naše kontrola SSL ukáže, jak je na tom certifikát.

Přijdeme přechodem o návštěvnost z vyhledávání?

Krátký propad, dokud jsou známé obě verze, je normální a srovná se. Trvalý pokles je známkou toho, že něco v kroku 5, 6 nebo 7 není dotažené — obvykle přesměrování 302 místo 301, kanonické značky stále mířící na http:// nebo sitemap, který nikdo znovu neodeslal.

Proč platit za certifikát, když existují bezplatné?

Šifrování je stejné. Platíte za úroveň ověření — bezplatný certifikát prokazuje kontrolu nad doménou a o firmě nic — a dále za záruku, pečeť webu, podporu, když instalace selže, a certifikáty s delší platností než 90 dnů.

Jak se vyhneme prošlému certifikátu?

Pokud vaše platforma podporuje ACME, obnovu zautomatizujte a jako zálohu si nechte připomínku v kalendáři. Upozorníme vás před vypršením i my, jenže upozornění funguje, jen když dorazí někomu, kdo tu schránku ještě čte.

Připraveni na přechod?

Vyberte certifikát, který odpovídá jménům sepsaným v kroku 1, nebo se nám ozvěte a vybereme je za vás.

Zobrazit certifikáty a ceny Zeptejte se nás

Firmy v EU mimo Nizozemsko s platným DIČ neplatí DPH (přenesená daňová povinnost) a bez něj platí DPH své země; firmy v Nizozemsku platí 21 % DPH; kupující ve Spojeném království platí britskou DPH; kupující mimo EU a Spojené království DPH neplatí. Souhrn objednávky ukáže vaši přesnou DPH před odesláním objednávky.