https un pareiza pāradresācija

4. modulis: Ātrums, mobilās ierīces un https · Lasīšanas laiks: 11 minūtes

Mērķis: Pēc šīs nodarbības Jūs varēsiet izskaidrot, kāpēc https ir svarīgs meklētājprogrammām un apmeklētājiem, nosaukt atšķirību starp pastāvīgu un pagaidu pāradresāciju un pārbaudīt, vai visi Jūsu adreses varianti vienā solī nonāk tajā pašā https lapā.

Pamatjēdzieni: https, sertifikāts, pāradresācija (redirect), 301 un 308 (pastāvīga), 302 un 307 (pagaidu), pāradresāciju ķēde, vēlamā adrese, ar www vai bez www, HSTS, jaukts saturs

Četras adreses vienai sākumlapai

Ja adreses joslā ierakstāt vietnes nosaukumu, Jūsu pārlūks var nonākt četrās vietās:

Jums tā ir viena vietne. Meklētājprogrammai tās ir četras dažādas adreses. Ja visas četras rāda vienu un to pašu lapu, Google pašam jāizvēlas, kura ir "īstā" adrese. Google to sauc par kanonisko adresi (nodarbībā 3.5 tas aplūkots sīkāk). Google iesaka pašiem izvēlēties vienu adresi kā vēlamo adresi un pārējos variantus pāradresēt uz to. Tad nav šaubu, un saites uz jebkuru variantu tiek ieskaitītas vienai un tai pašai lapai.

Bloemenatelier Lotte izvēlas https://www.example.com/. Pārējie trīs varianti pāradresē uz to. Meklētājprogrammām nav nozīmes, vai izvēlaties adresi ar www vai bez tā. Svarīgi ir izdarīt vienu izvēli un visur to ievērot: izvēlnē, vietnes kartē, canonical norādē un uzņēmuma profilā.

Kāpēc https

https nozīmē, ka savienojums starp pārlūku un serveri ir šifrēts ar sertifikātu. Neviens pa ceļam nevar to nolasīt vai kaut ko lapā mainīt, piemēram, publiskā wifi tīklā.

Meklētājprogrammām https ir svarīgs divos veidos:

1. Kā signāls. Google 2014. gadā paziņoja, ka https ir ranžēšanas signāls, taču toreiz to nosauca par "ļoti vieglu signālu", kas sver mazāk nekā labs saturs. Dokumentācijā par lapas pieredzi https ir minēts kā viens no jautājumiem, kas Jums sev jāuzdod ("vai Jūsu lapas tiek piegādātas droši?"). Tāpēc nepārspīlējiet: https vien Jūs neizvirzīs pirmajā vietā.
2. Apmeklētājiem. Pārlūki pie lapas, kas atvērta ar http, raksta "Nav drošs", īpaši, ja lapā ir veidlapa. Apmeklētājs, kurš to redz, ātrāk aiziet. To Jūs pamanīsiet apmeklējumu skaitā, nevis ranžēšanas noteikumā.

Derīgu sertifikātu mūsdienās var saņemt bez maksas no Let's Encrypt. Lielākajā daļā hostinga uzņēmumu, arī WebOké, tas tiek pieprasīts un atjaunots automātiski. Pievērsiet uzmanību, lai sertifikāts aptvertu abus nosaukumus: bez www un ar to. Ja tas aptver tikai example.com, tad https://www.example.com/ rāda sertifikāta kļūdu, vēl pirms pāradresācija var notikt.

Pastāvīga vai pagaidu pāradresācija

Pāradresācija (redirect) ir servera atbilde: "šī lapa atrodas citur". Tas notiek ar trīsciparu statusa kodu, kas sākas ar 3, kopā ar galvenes rindu Location, kurā ir jaunā adrese.

Saskaņā ar Google Search Central indeksēšana izmanto pastāvīgu pāradresāciju kā signālu, ka mērķim jākļūst par kanonisko adresi. Pagaidu pāradresācijas gadījumā tā nenotiek: vecā adrese parasti paliek rezultātos. Pārejai no http uz https un izvēlei ar www vai bez www situācija ir paliekoša. Tāpēc izmantojiet 301 vai 308.

Pāradresāciju varat apskatīt paši. Terminālī:

$ curl -sI http://example.com/
HTTP/1.1 301 Moved Permanently
Location: https://www.example.com/

Vai pārlūkā: atveriet izstrādātāja rīkus (F12), cilni Tīkls, ieslēdziet opciju, kas saglabā žurnālu, ielādējot jaunu lapu, un ielādējiet http adresi. Tad redzēsiet katru soli ar tā kodu.

Pāradresāciju ķēdes

Pāradresāciju ķēde ir pāradresācija uz adresi, kas pati atkal pāradresē. Bieži sastopams piemērs:

http://example.com/        301 → https://example.com/
https://example.com/       301 → https://www.example.com/
https://www.example.com/   200

Tas darbojas, taču katrā pirmajā apmeklējumā tas prasa papildu ceļu turp un atpakaļ līdz serverim. web.dev min pāradresācijas kā vienu no servera lēnas pirmās atbildes iemesliem (nodarbība 4.3): katrs solis pieskaitās, un ķēdes vēl vairāk. Labāk, ja katrs variants vienā solī nonāk vēlamajā adresē:

http://example.com/          301 → https://www.example.com/
http://www.example.com/      301 → https://www.example.com/
https://example.com/         301 → https://www.example.com/
https://www.example.com/     200

Vecajai http adresei ar otru nosaukumu tas ne vienmēr izdodas vienā solī, jo dažos iestatījumos serveris vispirms pāradresē uz tā paša nosaukuma https un tikai tad uz otru nosaukumu. Divi soļi tad ir pieņemami; trīs vai vairāk ir iemesls pārbaudīt iestatījumus. Cilpa (A pāradresē uz B, B atkal uz A) vienmēr ir kļūda: lapa tad vispār neatveras.

HSTS: pārlūks to atceras

HSTS (HTTP Strict Transport Security, RFC 6797) ir galvenes rinda, ko serveris nosūta caur https:

Strict-Transport-Security: max-age=31536000

Pārlūks, kas to vienreiz ir redzējis, pēc tam šai vietnei pats uzreiz izmanto https, vispirms nemēģinot http. Tas ietaupa pirmo pāradresāciju un pasargā no noklausītājiem. web.dev arī min HSTS kā veidu, kā izvairīties no pāradresācijas no http uz https. Meklētājprogrammām HSTS nav signāls; Jūsu apmeklētājiem tas ir uzlabojums. Ieslēdziet to tikai tad, kad https pareizi darbojas visiem nosaukumiem, jo pārlūks to atceras tik ilgi, cik norādīts max-age. Kurss par drošību tiešsaistē to aplūko sīkāk.

Jaukts saturs

https lapai, kas ielādē attēlu, skriptu vai stila lapu caur http://, ir jaukts saturs (mixed content). Pārlūki bloķē nedrošus skriptus un stila lapas vai parāda brīdinājumu. Pēc pārejas uz https to bieži redz pie veciem attēliem tekstos vai tēmā ar fiksētām adresēm. Meklējiet pirmkodā src="http:// un href="http:// un aizstājiet tos ar https vai ar relatīvu adresi.

Praksē: pāradresācijas uz https iestatīšana

WebOké hostinga plānā pāradresāciju uz https DirectAdmin ieslēdzat domēna iestatījumos (slēdzis "Force SSL with https redirect"), un tajā pašā lapā pie "Force redirect" izvēlaties, vai strādājat ar www vai bez tā. Pāradresācijai izmantojiet vienu vietu: divi noteikumi, kas katrs dara kaut ko citu (piemēram, panelī un spraudnī), viegli izraisa cilpu. Vietne, kas izveidota ar AI Builder, publicējot saņem sertifikātu un savu adresi. WordPress sadaļā Iestatījumi, General laukos WordPress adrese un vietnes adrese ievadiet https:// un izvēlēto nosaukumu; pašu pāradresāciju iestatāt serverī. Pie citiem pakalpojumu sniedzējiem un vietņu veidotājiem tas darbojas līdzīgi, tikai pogas sauc citādi.

Ja vēlaties to darīt ar .htaccess (Apache vai LiteSpeed), šis kods visus variantus vienā solī pāradresē uz https://www.example.com:

RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} !^www\.example\.com$ [NC]
RewriteRule ^ https://www.example.com%{REQUEST_URI} [R=301,L]

Pēc tam vienmēr pārbaudiet visus četrus variantus, arī ar ceļu aiz adreses (http://example.com/contact): ceļam jāsaglabājas, nevis jāpārlec uz sākumlapu.

Kopsavilkums

• Izvēlieties vienu vēlamo adresi (https, ar www vai bez tā) un pārējos variantus pāradresējiet uz to.
• Paliekošām pāradresācijām izmantojiet 301 vai 308; 302 un 307 ir pagaidu un nedod Google signālu par kanonisko adresi.
• Ļaujiet katram variantam nonākt vēlamajā adresē vienā solī, ne vairāk kā divos; ķēdes prasa laiku, un cilpas sabojā vietni.
• https pēc Google teiktā ir viegls ranžēšanas signāls; apmeklētājiem tas galvenokārt ir uzticēšanās jautājums. Sertifikātam jāaptver abi nosaukumi.
• HSTS liek pārlūkam pašam doties uz https; jauktu saturu sakārtojiet pēc pārejas.

Tests (quiz)

Uzdevums

Uzdevums A4.1: Vai viss vienā solī pāradresē uz https? Ievadiet savu domēna nosaukumu (bez www). Programma izmēģina visus četrus variantus (http un https, ar www un bez tā), soli pa solim seko katrai pāradresācijai un pārbauda abu nosaukumu sertifikātu. Katram variantam redzēsiet ķēdi ar statusa kodiem, vai visi nonāk vienā un tajā pašā https adresē un vai ir HSTS galvenes rinda. Jums nav savas vietnes? Izmantojiet rijksoverheid.nl.

Vairāk lasīt

Soļi šajos rakstos attiecas uz WebOké paneļiem; pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.

• DirectAdmin rokasgrāmata 6.4: Apmeklētājus vienmēr novirzīt uz https
• DirectAdmin rokasgrāmata 4.3: Domēna iestatījumi: SSL, PHP, www un private_html
• DirectAdmin rokasgrāmata 6.3: Sertifikāts domēnam ar www, subdomēniem un aizstājējzīmei
• Piespiedu kārtā novirzīt apmeklētājus uz https
• Bezmaksas DNS kurss 3.4: www, pāradresācija un tas, ko DNS nedara
• Google Search Central, Redirects and Google Search: https://developers.google.com/search/docs/crawling-indexing/301-redirects
• Google Search Central Blog, HTTPS as a ranking signal (2014): https://developers.google.com/search/blog/2014/08/https-as-ranking-signal
• RFC 6797 (HSTS): https://www.rfc-editor.org/rfc/rfc6797