Verschlüsselte Verbindung (HTTPS)

Was wir prüfen

Wir prüfen zwei Dinge:

1. Wird die Startseite über HTTPS geladen? Landen wir am Ende auf einer Adresse mit http://, ist das ein schwerer Mangel.
2. Leitet die unverschlüsselte Adresse weiter? Wir rufen die Website mit http:// auf. Sie sollte direkt auf die https://-Adresse weiterleiten. Ist die unverschlüsselte Version ohne Weiterleitung erreichbar, gibt es eine Warnung.

Ob das Zertifikat selbst gültig ist, prüft der Artikel zum Sicherheitszertifikat.

Warum das wichtig ist

HTTPS verschlüsselt die Verbindung zwischen dem Browser der Besucher und dem Server. Ohne HTTPS:

• zeigen Browser «Nicht sicher» neben der Adresse an. Viele Besucher verlassen die Seite sofort, gerade wenn sie ein Kontaktformular ausfüllen sollen.
• können Eingaben mitgelesen werden, etwa in einem öffentlichen WLAN: Namen, Telefonnummern, Nachrichten im Kontaktformular.
• können Dritte Inhalte verändern, bevor sie beim Besucher ankommen.
• bevorzugt Google verschlüsselte Seiten in den Suchergebnissen.

Auch mit HTTPS-Zertifikat bleibt eine Lücke, wenn die unverschlüsselte Adresse erreichbar bleibt: Wer beispiel.ch eintippt, landet je nach Browser zuerst auf der http://-Version. Erst die automatische Weiterleitung stellt sicher, dass alle Besucher geschützt sind.

So behebst Du es

1. Zertifikat aktivieren

Fast alle Hosting-Anbieter bieten kostenlose Zertifikate von Let's Encrypt an, die sich automatisch erneuern. Bei Schweizer Anbietern wie Hostpoint, Infomaniak, Cyon oder Metanet aktivierst Du es in der Verwaltung der Domain mit einem Klick. Website-Baukästen wie Wix, Jimdo und Squarespace stellen das Zertifikat automatisch aus, sobald die Domain verbunden ist.

2. Weiterleitung einrichten

Viele Hoster haben eine Option «HTTPS erzwingen» oder «Weiterleitung auf HTTPS». Auf einem Apache-Server mit .htaccess geht es so:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

3. WordPress umstellen

Trag unter «Einstellungen › Allgemein» bei «WordPress-Adresse» und «Website-Adresse» die Adressen mit https:// ein. Das Werkzeug «Website-Zustand» unter «Werkzeuge» zeigt, ob HTTPS korrekt eingerichtet ist.

4. Gemischte Inhalte beseitigen

Lädt eine HTTPS-Seite Bilder oder Skripte über http://, zeigt der Browser trotzdem eine Warnung. Ersetze solche Adressen durch https://.

So prüfst Du es selbst

Tipp http://beispiel.ch in die Adresszeile. Nach dem Laden sollte dort https:// stehen und ein Schloss oder ein Einstellungssymbol erscheinen, keine Warnung «Nicht sicher».

Häufige Fragen

Kostet ein Zertifikat etwas?

In der Regel nicht. Fast alle Hosting-Anbieter stellen kostenlose Zertifikate von Let's Encrypt aus und erneuern sie automatisch. Kostenpflichtige Zertifikate bieten für eine normale Firmenwebsite keinen zusätzlichen Schutz.

Die Website hat kein Formular. Braucht sie trotzdem HTTPS?

Ja. Browser warnen bei jeder unverschlüsselten Seite mit «Nicht sicher», und ohne HTTPS können Dritte unterwegs Inhalte verändern, etwa Werbung oder Schadcode einfügen.