- Einrichtung von kostenlosen Let´s Encrypt SSL-Zertifikat auf dem all-inkl.com Server.
- Umleitung von dem „Domain ohne www“ zum „Domain mit www“.
- Umleitung von „http://“ auf „https://“
- Entfernen von „Mixed Content“
1. Einrichtung von kostenlosen Let´s Encrypt SSL Zertifikat auf dem all-inkl.com Server.
Wer seinen Hosting noch nicht bei all-inkl.com hat kann hier darüber lesen warum er es ab sofort machen soll. Jedenfalls hat er jetzt noch mehr Gründe um es zu machen: kostenloser SSL-Zertifikat mit einem Klick!
Es funktioniert tatsächlich. Man geht einfach in seinem KAS auf Menüpunkt „Domain“ und Klickt bei einem erwünschten Domain auf „Bearbeiten“ und im dem Ansicht was dann kommt auf „SSL-Protection“ / Edit.Nachdem man dann den Disclaimer bestätigt hat, generiert und installiert man einen SSL-Zertifikat mit nur einem Button. Das wars schon. Ab sofort ist man über https:// erreichbar.
2. Umleitung von dem „Domain ohne www“ zu dem „Domain mit www.“
Da wir nicht möchten, dass der Content auf unserer Seite über unterschiedliche URLs erreichbar ist (Stichwort:Duplicated Content), werden wir nun den „Domain ohne www“ auf den „Domain mit www“ umleiten. Um das zu erreichen werden wir an zwei Stellen Veränderungen vornehmen: WordPress Admin Panel und File .htcaccess
WordPress: Umstellung auf www Domain
Um eine Umstellung von Domain ohne www auf den Domain mit www zu erreichen ändern wir Im WordPress im Menüpunkt „Einstellungen/Allgemein“ die URLs für die Seite und das Admin Panel.
.htaccess: Umstellung auf eine www Domain
Die .htcaccess Datei sieht nach der Installation von WordPress so aus:
# BEGIN WordPress
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ – [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]# END WordPress
Wir ergänzen diese um zwei Zeiten (in fetter Schrift hintergelegt), damit diese wie folgt aussieht. Hinweis: wenn man noch kein https:// hat und einfach nur einen „Domain ohne www“ auf den „Domain mit www“ umleiten möchte, benutzt bei der RewriteRule in der Zeite 3 http:// statt https://
# BEGIN WordPress
RewriteEngine On
RewriteCond %{HTTP_HOST} !^www\. [NC]
RewriteRule ^(.*)$ https://www.%{HTTP_HOST}/$1 [L,R=301]
RewriteBase /
RewriteRule ^index\.php$ – [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]# END WordPress
Ergebnis
Bei der Eingabe von z.B pagelift.de wird der Nutzer nun auf https://www.pagelift.de umgeleitet. Wenn der Nutzer allerdings sofort www.pagelift.de eingibt, dann wird er auch auf dem www.pagelift.de landen. Für die Vermeidung von Google Abstrafung / Google Penalty wegen Duplicated Content möchten wir natürlich, dass der Content ausschließlich über „https://www.“ Domain erreichbar. Dafür müssen wir HTTPS erzwingen.
Umleitung von www. Domain auf https://www. Domain. Ziel: HTTPS erzwingen
Das Erzwingen von HTTPS erreichen wir mit diesen drei Zeilen in .htcaccess-Datei. Die fertige Datei sieht dann so aus:
# BEGIN WordPress
RewriteEngine On
RewriteCond %{HTTP_HOST} !^www\. [NC]
RewriteRule ^(.*)$ https://www.%{HTTP_HOST}/$1 [L,R=301]
RewriteCond %{HTTPS} !=on
RewriteCond %{ENV:HTTPS} !=on
RewriteRule .* https://%{SERVER_NAME}%{REQUEST_URI} [R=301,L]
RewriteBase /
RewriteRule ^index\.php$ – [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . / [L]
# END WordPress
Entfernen von Verweisen auf unsichere Resourssen: SSL Mixed-Content
Es kommt oft dazu, dass nachdem man über alle Schritte gegangen ist bekommt man in etwa so eine Anzeige im Browser 
man möchte jedoch, dass die Anzeige so aussieht: 
. Wenn man diese Anzeige bekommt, dann hat man mit einem sog. „Mixed Content“ auf der Seite zu tun. Wenn man auf den Seiten-Symbol klickt, bekommt man es auch angesagt. Die Meldung lautet dann
„Ihre Verbindung zu www.pagelift.de ist mit einer modernen Codier-Suite verschlüsselt. Außerdem enthält diese Seite andere, nicht sichere Ressourcen. Diese Ressourcen können während der Übertragung von anderen Nutzern angezeigt und von Angreifern bearbeitet werden, die das Layout der Seite verändern.“
Das heißt, dass Ihre Seite auf „nicht sichere Ressourcen“ verweist. Es können z. B. die Links auf die Fotos sein, die nicht über https:// sondern über einen http:// Links geladen werden. Man muss daher alle diese Links finden, ändern bzw. entfernen.
Um zu verstehen welche Ressourcen unsicher sind klickt man bei Google Chrome mit einer rechten Mouse-Taste irgendwo auf der Seite und wählt „Prüfen“ im Menü. Dann geht man auf die „Console“ schon sieht man, welche Elemente nicht über https:// geladen werden. In meinem Fall ging es einfach um die Bilder aus WordPress Mediathek.
Um das Problem weg zu bekommen müsste ich einfach alle Links zu den Bildern auf https:// umstellen, denn die sind auch über https:// erreichbar. Falls man auf die Ressourcen verlinkt die auf nicht sicheren Seiten abgelegt sind muss man entweder die Ressourcen auf die HTTPS-Verschlüsselte Seite umlagern oder auf die Verlinkung verzichten.
Neueste Kommentare