SteadyHost

HTTPS en de redirect van HTTP naar HTTPS

HTTPS versleutelt het verkeer tussen bezoeker en website. Zonder HTTPS tonen browsers "Niet veilig" in de adresbalk, en bezoekers die http:// intypen, horen automatisch op de beveiligde versie te belanden.

Waarom HTTPS?

Met HTTPS kan niemand onderweg meelezen of de pagina aanpassen, bijvoorbeeld op een openbaar wifi-netwerk. Browsers markeren websites zonder HTTPS als "Niet veilig", en Google gebruikt HTTPS als (licht) signaal bij het rangschikken van zoekresultaten.

Voor HTTPS heb je een SSL/TLS-certificaat nodig. De meeste hostingpartijen bieden gratis certificaten van Let's Encrypt aan, die automatisch worden verlengd.

HTTP doorsturen naar HTTPS

Ook als HTTPS werkt, typen bezoekers vaak alleen je domeinnaam in of volgen ze een oude link met http://. Een permanente redirect (301) stuurt hen automatisch naar de beveiligde versie.

Bij veel hostingpartijen zet je dit aan met één vinkje ("HTTPS forceren"). Beheer je de server zelf, dan stel je het in de webserver in.

nginx
server {
    listen 80;
    server_name example.nl www.example.nl;
    return 301 https://example.nl$request_uri;
}

Redirect met .htaccess

Gebruik je Apache (bijvoorbeeld bij gedeelde hosting), dan werkt een .htaccess-bestand in de hoofdmap van je website.

.htaccess (Apache)
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Daarna: mixed content en HSTS

Laad afbeeldingen, scripts en stylesheets ook via https://. Een HTTPS-pagina die onderdelen via http:// laadt (mixed content), wordt door browsers gedeeltelijk geblokkeerd.

Werkt alles via HTTPS, zet dan ook de Strict-Transport-Security-header aan. Die vertelt browsers dat ze je site voortaan alleen via HTTPS mogen openen.

Hoe SteadyHost HTTPS beoordeelt

  • In orde: HTTPS werkt en http:// wordt doorgestuurd naar https:// (of de site is alleen via HTTPS bereikbaar).
  • Aandachtspunt: HTTPS werkt, maar http:// wordt niet doorgestuurd.
  • Probleem: de website is niet via HTTPS bereikbaar, of browsers accepteren het certificaat niet.

Controleer je eigen website

SteadyHost controleert HTTPS en de rest van de technische basis van je website in enkele seconden.

Meer uitleg