HTTPS, www i przekierowania 301: jedna wersja adresu strony
Strona powinna działać pod jednym adresem, na przykład https://twojafirma.pl, a wersje z http:// i z www albo bez niego powinny przenosić na niego przekierowaniem 301 albo 308. Google woli wersję HTTPS i traktuje stałe przekierowanie jako mocny sygnał, który adres pokazywać w wynikach.
- Google traktuje przekierowania 301 i 308 jako mocny sygnał, że adres docelowy ma być pokazywany w wynikach, a 302 i 307 jako sygnał słaby.
- Google woli wersję HTTPS jako adres kanoniczny, chyba że strona HTTPS ma błędny certyfikat, przekierowuje na HTTP albo wskazuje HTTP w znaczniku canonical.
- Od wersji 68 z lipca 2018 r. Chrome oznacza wszystkie strony otwierane przez HTTP jako niezabezpieczone.
- Google radzi unikać łańcuchów przekierowań; jeśli się nie da, najlepiej nie więcej niż 3 skoki i zawsze mniej niż 5.
Jedna strona, cztery adresy
Ta sama strona może odpowiadać pod czterema adresami: http://twojafirma.pl, http://www.twojafirma.pl, https://twojafirma.pl i https://www.twojafirma.pl. Dla Ciebie to jedna strona. Dla przeglądarki i Google to cztery różne adresy.
Jeśli wszystkie cztery pokazują treść, masz cztery kopie strony. Linki od klientów i partnerów rozkładają się na różne wersje. Google musi sam zgadnąć, którą pokazywać. Część klientów trafia na wersję bez szyfrowania.
Rozwiązanie jest jedno. Wybierz jeden adres, najlepiej z https, i ustaw stałe przekierowanie z trzech pozostałych. Google podaje to wprost w dokumencie o duplikatach: wybierz adres kanoniczny i przekieruj na niego ruch z innych adresów. Adres kanoniczny to ta wersja, którą chcesz widzieć w wynikach.
HTTPS: szyfrowanie, które klient widzi w pasku adresu
HTTPS to szyfrowane połączenie między przeglądarką a serwerem. Do jego działania potrzebny jest certyfikat SSL/TLS. Wiele hostingów i Cloudflare daje go bezpłatnie, na przykład z Let’s Encrypt. Bez HTTPS Chrome pokazuje przy adresie napis „Niezabezpieczona”, a dane wpisane w formularz idą jawnym tekstem.
Google pisze, że woli indeksować wersję HTTPS, jeśli strona istnieje w obu wersjach. Wyjątki są cztery: błędny certyfikat, zasoby ładowane po niezaszyfrowanym http (poza obrazkami), przekierowanie z HTTPS z powrotem na HTTP i znacznik canonical wskazujący wersję HTTP.
Uczciwie trzeba dodać jedno. Google pisze, że z elementów jakości strony systemy rankingowe używają Core Web Vitals. Pozostałe, w tym bezpieczne połączenie, bezpośrednio pozycji nie podnoszą. HTTPS robisz przede wszystkim dla bezpieczeństwa i zaufania klientów.
Przekierowanie 301, 302, 307 i 308: czym się różnią
Przekierowanie to odpowiedź serwera: „tej strony tu nie ma, idź pod inny adres”. Liczba w nazwie to kod odpowiedzi. Google opisuje je tak:
- Przekierowanie z http na https i między www a wersją bez www ma być stałe: 301 albo 308.
- Ustaw je po stronie serwera albo w panelu hostingu czy Cloudflare. Google pisze, że przekierowanie z serwera najłatwiej mu poprawnie odczytać.
- Unikaj łańcuchów, na przykład
http://www→https://www→https://. Google radzi przekierowywać od razu na adres docelowy.
| Kod | Rodzaj | Co robi Google | Kiedy używać |
|---|---|---|---|
| 301 | Stałe | Mocny sygnał, że pokazywać nowy adres | Zmiana adresu na zawsze, http na https, www na bez www |
| 308 | Stałe | Tak samo jak 301 | Jak 301; różni się szczegółem przy wysyłaniu formularzy |
| 302 | Tymczasowe | Słaby sygnał; w wynikach może zostać stary adres | Strona chwilowo niedostępna, akcja na kilka dni |
| 307 | Tymczasowe | Tak samo jak 302 | Jak 302 |
HSTS: przeglądarka sama wybiera HTTPS
HSTS (od ang. HTTP Strict Transport Security) to nagłówek, który serwer wysyła razem ze stroną. Mówi przeglądarce: przez określony czas łącz się ze mną tylko przez HTTPS. Opisuje go standard RFC 6797. Przykład: Strict-Transport-Security: max-age=31536000; includeSubDomains. Wartość max-age to czas w sekundach, tu jeden rok, a includeSubDomains obejmuje też subdomeny.
Po pierwszej wizycie przeglądarka sama zamienia http na https, zanim cokolwiek wyśle. Chroni to klienta, który wpisze adres bez https, na przykład w publicznej sieci Wi-Fi. Opcję includeSubDomains włącz dopiero wtedy, gdy wszystkie subdomeny działają po HTTPS. Inaczej przeglądarki klientów nie otworzą tych, które jeszcze go nie mają.
Zasoby po http na stronie https
Strona może działać po HTTPS, a i tak ładować obrazek, skrypt albo czcionkę po zwykłym http://. To tak zwana treść mieszana (ang. mixed content). Według web.dev większość przeglądarek blokuje dziś takie zasoby. Skutek: brakujący obrazek, niedziałający formularz albo ostrzeżenie przy adresie.
Najczęściej to stare adresy wpisane na sztywno w treści wpisów albo w ustawieniach motywu po przenosinach na HTTPS. Poprawka polega na zmianie http:// na https:// w tych adresach.
Jak sprawdzić to samemu
- Wpisz w pasku przeglądarki
http://twojadomena.pl. Po wczytaniu w pasku powinien być adres zaczynający się od https://. - Wpisz adres z www i bez www. Obie wersje mają skończyć pod tym samym adresem.
- W Chrome naciśnij F12, otwórz zakładkę Network (Sieć), zaznacz Preserve log i wpisz adres z http://. Pierwszy wiersz powinien mieć kod 301 albo 308, a w nagłówku Location adres docelowy.
- W tej samej zakładce kliknij główny dokument i w Response Headers poszukaj strict-transport-security. To nagłówek HSTS.
- Otwórz zakładkę Console. Ostrzeżenia z napisem Mixed Content pokazują zasoby ładowane po http.
- W Google Search Console otwórz raport HTTPS. Pokazuje, ile zindeksowanych adresów działa po HTTP, a ile po HTTPS.
Co sprawdza bezpłatny skan
- Sprawdza, czy strona działa po HTTPS, i zgłasza błąd krytyczny, gdy nie działa. Gdy wkleisz adres z http://, sprawdza też wersję z https://. Jeśli ona działa, a adres z http:// pokazuje stronę bez przekierowania, dostajesz uwagę o braku przekierowania z http na https zamiast uwagi o braku HTTPS.
- Otwiera adres z
http://Twojej domeny bez podążania za przekierowaniem: błąd krytyczny, gdy strona pokazuje się po http, i uwaga, gdy przekierowanie na https jest tymczasowe (302, 303 albo 307). - Porównuje wersję z www i bez www: ostrzega, gdy obie pokazują treść bez przekierowania, i informuje, gdy adres z www w ogóle nie działa.
- Sprawdza nagłówek HSTS oraz obrazki, skrypty, style i ramki ładowane po http:// na stronie głównej.
Skan sprawdza stronę główną i do 3 podstron. Wynik dostajesz w około minutę.
Kiedy zlecić to komuś: Ustawienie przekierowań zależy od hostingu, Cloudflare i CMS, a błąd może wyłączyć stronę albo stworzyć pętlę przekierowań. Pełny audyt JFlow Labs sprawdza wszystkie warianty adresu i podstrony, a samą konfigurację JFlow Labs wycenia osobno. Zobacz pełny audyt.
Pytania i odpowiedzi
Wybrać adres z www czy bez www?
Dla Google to bez znaczenia, ważne, żeby był jeden. Wybierz wersję, której używasz na wizytówkach i w mailach, i przekieruj na nią drugą. Potem używaj jej konsekwentnie w linkach, mapie witryny i znaczniku canonical.
Czy przy przejściu na HTTPS trzeba zgłaszać zmianę adresu w Search Console?
Nie. Google pisze, że narzędzie do zmiany adresu jest potrzebne tylko przy przenosinach na inną domenę albo subdomenę. Przejście z HTTP na HTTPS i zmiana między www a bez www tego nie wymagają.
Jak długo trzymać przekierowania?
Przekierowanie z http na https i z wersji www zostaw na stałe. Przy przenosinach na nowe adresy Google radzi trzymać przekierowania jak najdłużej, zwykle co najmniej rok.
Czy HTTPS poprawi moją pozycję w Google?
Według aktualnej dokumentacji Google bezpieczne połączenie nie podnosi bezpośrednio pozycji. HTTPS chroni dane klientów i usuwa ostrzeżenie „Niezabezpieczona”, a Google woli zindeksować wersję HTTPS, jeśli masz obie.
Źródła
- Google Search Central: Redirects and Google Search
- Google Search Central: How to specify a canonical URL (Prefer HTTPS over HTTP)
- Google: How HTTP status codes affect Google’s crawlers
- Google Search Central: Site moves with URL changes
- Google Search Central: Understanding page experience in Google Search results
- Search Console – pomoc: Raport HTTPS
- Chromium Blog: A secure web is here to stay (Chrome 68)
- RFC 6797: HTTP Strict Transport Security (HSTS)
- web.dev: What is mixed content?