SSL-Verwaltung

Ein Zertifikat ist leicht zu installieren und erstaunlich leicht so zu installieren, dass das Schloss trotzdem fehlt. Am Zertifikat selbst liegt es selten — schief geht meist alles darum herum: Ressourcen, die weiterhin über http angefordert werden, Weiterleitungen, die sich im Kreis drehen, ein Proxy, der WordPress nicht mitteilt, dass die Verbindung gesichert war.

Diese Anleitungen beginnen beim Zertifikat: eines installieren, lesen, was tatsächlich darin steht, den Ablauf prüfen, bevor ein Browser es tut, und die Fehler verstehen, die erscheinen, wenn der Name im Zertifikat nicht zu der eingegebenen Adresse passt.

Die größte Gruppe behandelt Mixed Content, den Grund dafür, dass die meisten Websites nach einem Wechsel auf https „Nicht sicher“ anzeigen. Ein einziges über http geladenes Stylesheet, Skript oder Bild genügt, um das Schloss auf einer ansonsten korrekten Seite zu zerstören, und die Browser-Konsole benennt es genau, sofern bekannt ist, wo zu suchen ist. Formulare und AJAX-Anfragen scheitern auf dieselbe Weise, nur sichtbarer.

Danach die Weiterleitungen, denn beim Erzwingen von https zerlegen sich Websites am häufigsten selbst: eine Regel zu viel, und jede Anfrage springt so lange hin und her, bis der Browser aufgibt. Von http zu https sollte genau ein Sprung nötig sein, und dasselbe gilt für die Entscheidung zwischen www und ohne www.

Zum Schluss die Header, die https dauerhaft machen — HSTS und seine Preload-Liste, die sich nur sehr schwer rückgängig machen lässt. Die Risiken gehören vor der Übermittlung gelesen.