TrueURL
TrueURL

Menü

Sprache Deutsch
Design

Kostenloses Redirect-Tool

HTTPS-Redirect-Checker

Geben Sie eine Domain ein, um die vier Wege zu testen, auf denen man sie erreichen kann: http und https, jeweils mit und ohne www. Jede Variante sollte mit einer einzigen permanenten Weiterleitung bei derselben HTTPS-Adresse ankommen.

Was die HTTPS-Prüfung testet

Für den eingegebenen Host erstellt TrueURL vier Start-URLs und verfolgt jede davon:

  • http://example.com
  • http://www.example.com
  • https://example.com
  • https://www.example.com

Bei einer sauberen Konfiguration enden alle vier auf einer einzigen kanonischen HTTPS-URL. Diese Variante antwortet direkt mit 200 OK, und die anderen drei erreichen sie mit einer einzigen 301 oder 308. Jeder Hop, der von HTTPS zurück auf HTTP führt, wird markiert.

TrueURL prüft außerdem HSTS. Es liest den Strict-Transport-Security-Header aus der letzten HTTPS-Antwort (normalerweise Ihrer kanonischen URL) und zeigt den Rohwert, das max-age und ob includeSubDomains und preload gesetzt sind. Ein max-age von mindestens einem Jahr gilt als bestanden. Ein kürzeres max-age, max-age=0, ein Header ohne gültiges max-age oder ein fehlender Header wird als Warnung angezeigt.

Typische Probleme mit HTTPS-Weiterleitungen und ihre Lösung

  • Keine Weiterleitung von HTTP: Die http://-Version zeigt die Seite an, statt weiterzuleiten. Richten Sie eine websiteweite Weiterleitung auf HTTPS ein; ein Canonical-Tag allein schützt Besucher nicht.
  • Zwei oder mehr Hops: zum Beispiel von http://example.com über https://example.com zu https://www.example.com. Fassen Sie die Regeln für Protokoll und Host zusammen, sodass jede Variante direkt zur Ziel-URL führt (beachten Sie aber die Ausnahme für HSTS-Preload weiter unten).
  • Temporäre Weiterleitung: eine 302 oder 307 von HTTP auf HTTPS. Verwenden Sie 301 oder 308, damit Suchmaschinen nur die HTTPS-Version indexieren.
  • HTTPS-Downgrade: ein Hop von https:// zurück auf http://, meist eine vergessene Regel oder eine Anwendung hinter einem Proxy oder CDN, die absolute URLs mit dem falschen Protokoll erzeugt.
  • Zertifikatsfehler: Eine Variante, oft www, ist nicht durch das Zertifikat abgedeckt. Das Edge-Netzwerk von Cloudflare validiert Zertifikate immer, daher zeigt diese Variante einen TLS-Fehler statt einer Weiterleitung.
  • Varianten, die sich widersprechen: www und die Variante ohne www enden auf unterschiedlichen URLs, wodurch sich die Signale auf zwei Hosts verteilen.

HSTS und die Preload-Ausnahme

HSTS weist Browser an, für Ihre Domain automatisch HTTPS zu verwenden, ohne zuerst HTTP anzufragen. Ein typischer Header lautet Strict-Transport-Security: max-age=31536000; includeSubDomains. Browser akzeptieren ihn nur in HTTPS-Antworten und ignorieren ihn bei reinem HTTP.

Wenn Sie Ihre Domain unter hstspreload.org in die HSTS-Preload-Liste der Browser eintragen lassen möchten, muss der erste Hop von HTTP auf demselben Host bleiben: von http://example.com auf https://example.com und erst danach auf https://www.example.com. Diese Kette mit zwei Hops ist die anerkannte Ausnahme von der Ein-Hop-Regel. Der Header benötigt dann ein max-age von mindestens einem Jahr, includeSubDomains und preload und muss auch bei der HTTPS-Weiterleitung selbst gesendet werden.

Nach der Umstellung auf HTTPS

  • Stellen Sie interne Links, Canonical-Tags, hreflang-Angaben und Ihre Sitemap auf die HTTPS-URLs um, damit Crawler nicht ständig auf Weiterleitungen stoßen.
  • Behalten Sie die Weiterleitung von HTTP auf HTTPS für immer bei; alte Links zeigen noch jahrelang auf http://.
  • Stellen Sie sicher, dass die HTTPS-Version Ihrer Website in der Google Search Console bestätigt ist, und reichen Sie die aktualisierte Sitemap ein.
  • Prüfen Sie nach jeder Änderung an CDN, Hosting oder Zertifikat erneut.

Ratgeber

Häufige Fragen

Wie prüfe ich, ob HTTP auf HTTPS weiterleitet?

Geben Sie oben Ihre Domain ein. TrueURL ruft die http://- und die https://-Version jeweils mit und ohne www auf und zeigt, wo jede endet, welche Statuscodes verwendet wurden und wie viele Hops nötig waren. Ihre Konfiguration stimmt, wenn alle vier bei derselben HTTPS-URL ankommen und jede Weiterleitung permanent ist.

Sollte ich www oder die Variante ohne www verwenden?

Für SEO funktioniert beides. Wichtig ist, dass Sie sich für eine Variante entscheiden, die andere per 301 auf sie weiterleiten und sie in Links, Canonical-Tags und Ihrer Sitemap einheitlich verwenden. Ein www-Host lässt sich mitunter leichter auf ein CDN verweisen, weil DNS auf der Root-Domain keinen CNAME-Eintrag erlaubt (einige DNS-Anbieter bieten Workarounds an). Das ist aber eine technische Entscheidung und kein Rankingfaktor.

Warum zeigen die Chrome DevTools eine 307 von HTTP auf HTTPS?

Diese „307 Internal Redirect“ erzeugt Chrome selbst, weil die Website in seiner HSTS-Liste steht – es wurde also überhaupt keine Anfrage über HTTP gesendet. Die echte Weiterleitung des Servers kann eine 301 oder etwas ganz anderes sein. TrueURL hat keinen HSTS-Cache und zeigt daher immer die tatsächliche Antwort des Servers.

Ist eine 302 von HTTP auf HTTPS ein Problem?

Ein kleines. Besucher landen trotzdem auf HTTPS, aber eine temporäre Weiterleitung signalisiert Suchmaschinen, dass die HTTP-URL zurückkommen könnte. Das kann die Umstellung verzögern oder verwässern. Ändern Sie sie in eine 301 oder 308.

Wie prüfe ich, ob meine Website HSTS sendet?

Geben Sie oben Ihre Domain ein und öffnen Sie in den Ergebnissen die HSTS-Prüfung. TrueURL liest den Strict-Transport-Security-Header aus der letzten HTTPS-Antwort und zeigt seinen Wert, das max-age (mit einer Warnung unter einem Jahr) und ob includeSubDomains und preload gesetzt sind. Ohne diesen Header beginnt jeder Besuch, der mit einer eingetippten Domain oder einem alten http://-Link startet, mit einer unverschlüsselten Anfrage, die jemand im selben Netzwerk abfangen könnte. Mit dem Header wechseln Browser, die ihn bereits kennen, beim nächsten Mal direkt zu HTTPS. Beginnen Sie mit einem kurzen max-age, vergewissern Sie sich, dass jede Subdomain über HTTPS funktioniert, bevor Sie includeSubDomains hinzufügen, und erhöhen Sie den Wert dann auf ein Jahr oder mehr.

Kann ich eine Website mit ungültigem oder abgelaufenem Zertifikat testen?

Sie sehen das Problem, kommen aber nicht daran vorbei. Die Zertifikatsprüfung lässt sich im Edge-Netzwerk von Cloudflare nicht abschalten, auch nicht mit aktivierter Option „SSL-Fehler ignorieren“. Die betroffene Variante zeigt daher bei diesem Hop einen TLS-Fehler. Meist ist das ohnehin genau die Information, die Sie brauchen: Auch Browser zeigen Besuchern dort eine Warnung.

Muss ich jede Seite weiterleiten oder nur die Startseite?

Jede URL. Eine websiteweite Regel sollte http://example.com/any/path?query auf denselben Pfad und dieselbe Query unter HTTPS weiterleiten. Testen Sie einige tiefe URLs mit dem Weiterleitungsketten-Checker oder viele auf einmal mit dem Bulk-Redirect-Checker.