Warum deine Website eine Weiterleitung von HTTP zu HTTPS braucht
Selbst wenn HTTPS verfügbar ist, muss deine Website HTTP-Anfragen aktiv zu HTTPS weiterleiten. Andernfalls bleiben Nutzer, die die HTTP-Version erreichen, auf einer unverschlüsselten, abfangbaren Verbindung.
Was es ist
Wenn jemand deinedomain.de ohne https:// eingibt, versucht der Browser zuerst HTTP. Antwortet dein Server auf Port 80 mit Inhalt statt einer Weiterleitung, ist dieser Seitenaufruf unverschlüsselt.
Die Lösung ist eine permanente (301-)Weiterleitung von jeder HTTP-URL zu ihrem HTTPS-Äquivalent auf derselben Domain.
Warum es wichtig ist
Unverschlüsselten Traffic kann jeder auf dem Netzwerkweg lesen oder verändern — öffentliches WLAN, ein kompromittierter Router, ein ISP. Dazu gehören Formulardaten und Cookies ohne das Secure-Flag.
Eine Weiterleitung, die auf die falsche Domain zeigt, oder eine Kette aus mehreren Sprüngen erhöht die Latenz und kann selbst ein Zeichen für eine Fehlkonfiguration oder Hijacking sein.
So behebst du es
Antworte auf Port 80 mit einem einzigen 301 zu HTTPS.
server {
listen 80;
server_name yourdomain.com;
return 301 https://$host$request_uri;
}Eine Weiterleitung kümmert sich um den ersten Sprung; HSTS sagt dem Browser dann, bei künftigen Besuchen HTTP komplett zu überspringen. Verwende beides zusammen.
Leite direkt von HTTP zur kanonischen HTTPS-URL in einem Sprung weiter, statt zwischen www-/non-www- und Trailing-Slash-Varianten hin und her zu springen.
FAQ
Reicht ein SSL-Zertifikat nicht aus?
Nein. Ein Zertifikat aktiviert HTTPS, aber ohne Weiterleitung können Nutzer weiterhin die HTTP-Version laden. Du brauchst beides.
301- oder 302-Weiterleitung?
Verwende 301 (permanent). Sie ist cachebar und signalisiert Browsern und Suchmaschinen, dass HTTPS die kanonische Version ist.
Ist deine App betroffen?
AppSafe prüft dies und Dutzende weitere Probleme in einem kostenlosen Scan.
Meine App gratis scannenVerwandte Guides
HTTP Strict Transport Security (HSTS) erklärt
Erzwinge, dass jede Verbindung HTTPS nutzt — sogar die erste.
Die Cookie-Flags Secure, HttpOnly und SameSite
Drei Flags, die verhindern, dass Session-Cookies gestohlen werden.
Content-Security-Policy (CSP): was sie ist und wie du eine hinzufügst
Der Header, der verhindert, dass eingeschleuste Skripte ausgeführt werden.