Jak převést web z HTTP na HTTPS

Převod webu z HTTP na HTTPS je jedním z nejdůležitějších kroků pro bezpečnost vašeho webu a důvěru návštěvníků. Google v prohlížeči Chrome označuje weby na HTTP jako „Nezabezpečené", což návštěvníky odrazuje. HTTPS je navíc faktorem hodnocení na Googlu. Více informací najdete v našem podrobném průvodci SEO – a to už od roku 2014. V tomto návodu vás celým procesem migrace provedeme krok za krokem.

Proč je HTTPS důležité

HTTPS (Hypertext Transfer Protocol Secure) šifruje komunikaci mezi prohlížečem návštěvníka a vaším serverem. Bez HTTPS se všechny informace – včetně hesel, údajů o platebních kartách a osobních dat – odesílají jako prostý text, který může kdokoli v síti přečíst. To je obzvlášť nebezpečné na veřejných WiFi sítích, kde může útočník snadno odposlechnout nešifrovaný provoz.

Kromě bezpečnosti HTTPS ovlivňuje i důvěru uživatelů. Chrome zobrazuje u webů s HTTPS vedle URL ikonu zámku a u webů na HTTP varování „Nezabezpečeno". Podle výzkumů 85 % online nakupujících z webu bez HTTPS nenakoupí. I u webů, které nezpracovávají citlivá data, se HTTPS stalo standardem, který uživatelé očekávají.

Google používá HTTPS jako signál hodnocení od srpna 2014. Weby s HTTPS mají oproti webům na HTTP malou, ale měřitelnou výhodu ve výsledcích vyhledávání. Mnoho moderních webových technologií (HTTP/2, HTTP/3, Service Workers, Geolocation API) navíc ke svému fungování HTTPS vyžaduje.

Krok 1: Získání SSL certifikátu

Digitální certifikát pro ochranu webové komunikace je certifikát, který umožňuje připojení přes HTTPS. Existuje několik typů SSL certifikátů. Certifikát DV (Domain Validation) je nejjednodušší a nejrychleji dostupný – pouze potvrzuje vlastnictví domény a obvykle je vystaven během několika minut. Pro většinu webů je to dostačující volba.

Certifikát OV (Organization Validation) navíc potvrzuje identitu organizace a vyžaduje ověření firemních údajů. Certifikát EV (Extended Validation) poskytuje nejvyšší úroveň validace a zobrazuje název organizace v adresním řádku prohlížeče. Certifikáty OV a EV se doporučují pro e-shopy a finanční instituce.

Let's Encrypt nabízí bezplatné DV SSL certifikáty, které se automaticky obnovují. BeoHosting zahrnuje bezplatné SSL certifikáty Let's Encrypt ve všech hostingových tarifech s automatickou instalací a obnovou – nemusíte dělat nic, SSL je aktivní, jakmile se doména spropaguje na náš server. Pro firmy, které potřebují certifikáty OV nebo EV, nabízíme i komerční SSL certifikáty.

Krok 2: Instalace SSL certifikátu

Pokud používáte BeoHosting, SSL je na vaší doméně už nainstalované a aktivní. U jiných hostingů závisí postup na ovládacím panelu. V cPanelu přejděte do SSL/TLS Manager a poté na „Install and Manage SSL for your site". Vyberte doménu, zadejte certifikát, soukromý klíč a CA bundle a klikněte na Install.

Pro Let's Encrypt v cPanelu přejděte na „Let's Encrypt SSL" nebo „SSL/TLS Status" a klikněte na „Issue" u své domény. Proces je automatický a certifikát bude aktivní během několika sekund. Certifikát určitě vystavte pro verzi domény s www i bez www, aby byly pokryty obě verze.

Po instalaci otestujte, zda SSL funguje správně, otevřením webu s předponou https://. Měli byste v adresním řádku vidět ikonu zámku bez varování. Pokud se zobrazí varování o nezabezpečeném připojení, certifikát nemusí být správně nainstalovaný nebo může jít o problém s řetězcem certifikátů.

Krok 3: Nastavení přesměrování

Po instalaci SSL musíte veškerý provoz z HTTP přesměrovat na HTTPS. Bez přesměrování bude váš web dostupný na http:// i https://, což vytváří problém s duplicitním obsahem pro SEO. Uživatelé, kteří zadají vaši doménu bez předpony https://, navíc stále uvidí nezabezpečenou verzi.

Nejčastějším způsobem přesměrování je soubor .htaccess pro servery Apache. Na začátek souboru .htaccess přidejte tento kód: RewriteEngine On, RewriteCond %{HTTPS} off, RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]. Tím trvale (301) přesměrujete všechny HTTP požadavky na verzi HTTPS se zachováním původní cesty a parametrů.

Pro servery Nginx přidejte server blok naslouchající na portu 80, který vrací přesměrování 301 na verzi https://. Pro servery LiteSpeed (které BeoHosting používá) fungují pravidla .htaccess stejně jako na Apache. Určitě použijte přesměrování 301 (trvalé), ne 302 (dočasné), aby Google správně přenesl SEO hodnotu na verzi HTTPS.

U WordPress webů navíc změňte WordPress Address a Site Address v Nastavení > Obecné z http:// na https://. Tím zajistíte, že WordPress generuje všechny interní odkazy s předponou HTTPS.

Krok 4: Oprava mixed content

Smíšený obsah (mixed content) je nejčastější problém po migraci na HTTPS. Nastává, když stránka na HTTPS načítá zdroje (obrázky, skripty, styly) přes HTTP. Prohlížeč tento smíšený obsah blokuje nebo na něj upozorňuje, protože nešifrované zdroje na šifrované stránce podkopávají bezpečnost HTTPS.

Mixed content najdete tak, že otevřete web v Chrome, stisknete F12 pro nástroje pro vývojáře a podíváte se na záložku Console. Každý problém se smíšeným obsahem se zobrazí jako varování nebo chyba s přesnou URL problematického zdroje. Web na mixed content prohledá také nástroj jako Why No Padlock (whynopadlock.com).

U WordPress webů opraví většinu problémů s mixed content automaticky plugin Really Simple SSL tím, že změní odkazy z HTTP na HTTPS. Pro ruční opravu změňte v obsahu webu všechny interní odkazy z http:// na https://. Pro hromadnou náhradu http://vasedomena.cz za https://vasedomena.cz v databázi použijte nástroj Search Replace DB nebo WordPress plugin Better Search Replace.

U externích zdrojů (obrázky z jiných webů, skripty třetích stran) zkontrolujte, zda jsou dostupné přes HTTPS. Většina moderních služeb HTTPS podporuje. Pokud některý externí zdroj přes HTTPS dostupný není, zvažte hostování tohoto zdroje na vlastním serveru nebo najděte alternativu, která HTTPS podporuje.

Krok 5: Aktualizace Google Search Console

Google Search Console považuje verzi vašeho webu na HTTP a HTTPS za odlišné služby (properties). Po migraci na HTTPS musíte v Search Console přidat novou službu pro https://vasedomena.cz. Starou službu pro HTTP nemažte – ponechte si ji, abyste sledovali, jak Google přechází na verzi HTTPS.

V nové službě HTTPS odešlete aktualizovaný sitemap.xml obsahující URL adresy s HTTPS. Zkontrolujte, že robots.txt je dostupný na verzi HTTPS a neblokuje přístup k důležitým stránkám. V následujících týdnech sledujte přehled Coverage, abyste viděli, zda Google úspěšně indexuje verze vašich stránek na HTTPS.

Aktualizujte také svůj web v Google Analytics (změňte výchozí URL na https://), v Google Business Profile a ve všech dalších službách, kde je váš web registrován. Odkazy na sociálních sítích a v e-mailových podpisech upravte tak, aby používaly verzi HTTPS.

Krok 6: Ověření a testování

Po dokončení všech kroků web důkladně otestujte. Zkontrolujte, že se všechny stránky načítají ve verzi HTTPS. Otestujte přesměrování – zadejte http://vasedomena.cz, http://www.vasedomena.cz, https://www.vasedomena.cz a všechny by vás měly dovést na https://vasedomena.cz (nebo na verzi s www, podle vaší preference).

Pro ověření konfigurace SSL certifikátu použijte test SSL Labs (ssllabs.com/ssltest). Cílem je hodnocení A nebo A+. Tento test kontroluje verzi protokolu SSL/TLS, sílu šifrování, řetězec certifikátů a případné zranitelnosti. Pokud máte hodnocení nižší než A, řiďte se doporučeními ke zlepšení.

Zkontrolujte, že všechny formuláře, přihlašování uživatelů, e-commerce funkce a interaktivní prvky fungují přes HTTPS správně. Testujte na různých prohlížečích a zařízeních. V následujících týdnech sledujte Google Search Console kvůli případným chybám při indexaci verze HTTPS.

Závěr

Migrace z HTTP na HTTPS je nezbytným krokem pro bezpečnost a SEO vašeho webu. Proces vyžaduje pozornost k detailům, ale se správným přístupem ho lze dokončit za pár hodin. Klíčovými kroky jsou instalace SSL certifikátu, nastavení přesměrování 301, oprava mixed content a aktualizace Search Console. U BeoHosting je SSL certifikát zdarma a instaluje se automaticky, čímž odpadá nejsložitější krok celého procesu. Pokud potřebujete pomoc s migrací na HTTPS, náš tým podpory je vám k dispozici.