HTTP auf HTTPS weiterleiten: 301-Weiterleitung richtig einrichten

Warum das wichtig ist

Ein Zertifikat zu haben heißt noch nicht, dass es benutzt wird. Viele Leute tippen nur deinedomain.de in die Adresszeile, und alte Links in Branchenbüchern oder E-Mail-Signaturen zeigen oft noch auf http://. Ohne Weiterleitung landen diese Besucher auf der unverschlüsselten Fassung. Aktuelle Browser versuchen zwar zunehmend selbst, zuerst https zu laden, ältere Geräte und viele Crawler aber nicht.

Für Google ist die Weiterleitung außerdem das Signal, welche Adresse die richtige ist. Eine 301 bedeutet „dauerhaft umgezogen“, Google übernimmt dann die neue Adresse in den Index und überträgt die Signale der alten. Eine 302 heißt „nur vorübergehend“. Dann kann es passieren, dass Google länger an der alten http-Adresse festhält.

So prüfst du es selbst

Tipp deine Adresse mit http:// davor in die Adresszeile, am besten in einem privaten Fenster, damit kein Cache dazwischenfunkt. Landest du auf https://, funktioniert die Weiterleitung grundsätzlich. Welcher Statuscode dahintersteckt, siehst du so nicht. Den zeigen die Entwicklertools (F12) im Reiter „Netzwerk“ beim ersten Eintrag, oder du nimmst im Terminal curl:

curl -I http://example.de

HTTP/1.1 301 Moved Permanently
Location: https://example.de/

Was der Statuscode bedeutet

Wichtig sind die erste Zeile mit der Zahl und die Zeile Location, die das Ziel nennt. So liest du die Zahl:

• ·301 oder 308: dauerhaft, so soll es sein.
• ·302 oder 307: nur vorübergehend. checkfrei gibt dafür eine Warnung.
• ·200 über http: Die Seite wird unverschlüsselt ausgeliefert, das ist ein Fehler.

Was checkfrei prüft

checkfrei ruft deine Domain über http:// auf und schaut, ob dauerhaft auf https weitergeleitet wird. Fehlt die Weiterleitung, ist das ein Fehler. Teste dabei auch die Variante mit www bzw. ohne. Im Idealfall führt jede Variante in einem einzigen Schritt zur endgültigen Adresse. Zwei Weiterleitungen hintereinander, etwa erst auf https und dann auf www, wertet checkfrei unter Weiterleitungskette als Warnung. Beides prüfst du mit dem kostenlosen Check.

So behebst du es

Schau zuerst im Kundenbereich deines Hosters nach. Viele haben bei den SSL-Einstellungen einen Schalter wie „HTTPS erzwingen“ oder „Auf SSL umleiten“. Wenn es den gibt, nimm ihn und bau keine zusätzliche eigene Regel, sonst entstehen schnell doppelte Weiterleitungen oder Schleifen.

RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} ^www\. [NC]
RewriteRule ^ https://example.de%{REQUEST_URI} [L,R=301]

server {
    listen 80;
    listen [::]:80;
    server_name example.de www.example.de;
    return 301 https://example.de$request_uri;
}

Typische Fehler

• ·302 statt 301. Im Browser merkt man keinen Unterschied, für Suchmaschinen ist es das falsche Signal.
• ·Weiterleitungsschleife, erkennbar an der Meldung „zu oft weitergeleitet“. Meist arbeiten dann zwei Regeln gegeneinander, etwa Hoster-Schalter plus .htaccess, oder ein CDN spricht mit dem Server nur über http.
• ·Alles landet auf der Startseite. Richtig ist, dass http://example.de/kontakt auf https://example.de/kontakt führt. Deshalb steht in den Beispielen REQUEST_URI bzw. $request_uri.