Im Hosting-Panel wird ein gültiges Zertifikat angezeigt, doch der Aufruf mit wwwliefert weiterhin das Standardzertifikat des Anbieters. Gleichzeitig erzeugt WordPress noch Links mit http://. Beide Symptome gehören zur SSL-Einrichtung, entstehen aber an unterschiedlichen Stellen.
Eine sichere Umstellung verbindet DNS, Zertifikat, Webserver oder CDN und die gespeicherten WordPress-URLs in der richtigen Reihenfolge. Dieser Artikel führt durch die Einrichtung und zeigt, welche Prüfungen vor einer dauerhaften HTTPS-Weiterleitung nötig sind.
- Was das Thema bedeutet
- Ein realistisches WordPress-Beispiel
- Warum es wichtig ist und wann es eingesetzt wird
- Der einfache Weg für Einsteiger
- Der technische Weg
- Risiken, häufige Fehler, Backup und Rollback
- Wie AIOWS unterstützt: AIOWS SSL Manager
- Passende AIOWS-Artikel
- Fazit und empfohlener Weg
- Offizielle Quellen
Was eine vollständige SSL-Einrichtung umfasst
Für HTTPS muss der öffentliche Endpunkt das passende Zertifikat samt vollständiger Zwischenzertifikatskette ausliefern. Das Zertifikat muss alle verwendeten Hostnamen abdecken, etwa die Hauptdomain und die www-Variante. Erst wenn dieser Weg funktioniert, sollten die WordPress-Adressen auf HTTPS umgestellt und HTTP-Anfragen dauerhaft weitergeleitet werden.
Eine Zertifikatsdatei allein ändert weder WordPress-URLs noch bereits gespeicherte Medien- oder Asset-Adressen. Auch ein CDN oder Reverse Proxy kann ein eigenes Zertifikat terminieren und damit eine weitere Ebene hinzufügen.
Ein realistisches WordPress-Beispiel
Die Domain example.dezeigt auf den neuen Server, der DNS-Eintrag für www.example.dejedoch noch auf eine alte Plattform. Das neue Zertifikat deckt beide Namen ab, wird aber nur am neuen Virtual Host ausgeliefert. Deshalb funktioniert HTTPS ohne www, während der zweite Host eine Zertifikatswarnung zeigt.
Nach der DNS-Korrektur wird HTTPS für beide Namen extern geprüft. Anschließend setzt der Administrator WordPress-Adresse und Website-Adresse auf https://example.de, richtet genau eine Weiterleitung von HTTP sowie wwwauf den kanonischen Host ein und ersetzt verbliebene interne HTTP-Verweise.
Warum die Reihenfolge wichtig ist und wann sie gilt
Wer WordPress zu früh auf HTTPS umstellt, kann Login und Administration unerreichbar machen, obwohl das Zertifikat am öffentlichen Endpunkt noch nicht korrekt gebunden ist. Mehrere Weiterleitungen in Plugin, Webserver und CDN erzeugen zudem leicht Schleifen.
Der beschriebene Ablauf gilt für eine erstmalige HTTPS-Einrichtung und für einen Host- oder Plattformwechsel. Wenn bereits ein Zertifikat ausgeliefert wird, aber nur einzelne Seiten Warnungen zeigen, liegt die Ursache möglicherweise bei Mixed Content statt bei der Zertifikatsinstallation.
Der einfache Weg für Einsteiger
- Sichern Sie Website und Datenbank und halten Sie eine funktionierende Admin-Sitzung offen.
- Bestätigen Sie den gewünschten Haupt-Hostnamen und alle zusätzlich erreichbaren Varianten.
- Stellen Sie das Zertifikat über den unterstützten Weg des Hosters oder der Zertifizierungsstelle aus.
- Prüfen Sie jeden Host extern über HTTPS, bevor Sie WordPress-Adresse und Website-Adresse ändern.
- Richten Sie eine einzige kanonische Weiterleitung ein und beseitigen Sie anschließend Mixed Content.
- Kontrollieren Sie Startseite, Login, Administration, Formulare, REST-Endpunkte und Sitemap in einem privaten Browserfenster.
Der technische Weg
Vergleichen Sie autoritative DNS-Antworten für Hauptdomain und wwwüber IPv4 und IPv6. Prüfen Sie für jede Adresse den präsentierten Hostnamen, die Subject Alternative Names, Ablaufdatum, Aussteller und Zertifikatskette. Bei einem CDN testen Sie sowohl den öffentlichen Endpunkt als auch – sofern sicher möglich – die verschlüsselte Verbindung zum Ursprung.
- Ordnen Sie die Zertifikatsbindung dem richtigen Virtual Host, Load Balancer oder CDN-Dienst zu.
- Stellen Sie sicher, dass der private Schlüssel nur am vorgesehenen System liegt und geschützt ist.
- Prüfen Sie
homeundsiteurl, Proxy-Header sowie die Stelle, die Weiterleitungen verantwortet. - Dokumentieren Sie automatische Erneuerung, Verantwortlichkeit und Ablaufwarnungen.
Risiken, häufige Fehler, Backup und Rollback
Zu den häufigsten Fehlern gehören ein nicht abgedeckter Hostname, eine fehlende Zwischenzertifikatskette, ein veralteter IPv6-DNS-Eintrag und mehrere konkurrierende Weiterleitungen. HSTS darf erst aktiviert werden, wenn HTTPS für alle betroffenen Hosts dauerhaft funktioniert.
- Deaktivieren Sie niemals die Zertifikatsprüfung als vermeintliche Lösung.
- Bewahren Sie die vorherigen WordPress-URL-Werte und Redirect-Regeln auf.
- Testen Sie ohne Admin-Cookies und aus einem zweiten Netz.
- Rollen Sie die URL- oder Redirect-Änderung zurück, wenn Login, REST, Formulare oder Callbacks nicht mehr erreichbar sind.
Wie AIOWS unterstützt:
AIOWS SSL Manager
AIOWS SSL Manager unterstützt die WordPress-seitige Prüfung und Konfiguration einer HTTPS-Umstellung. Dadurch lassen sich relevante Einstellungen und der beobachtete Zustand an einer Stelle nachvollziehen, statt Änderungen unkoordiniert über verschiedene Plugins vorzunehmen. Das ist besonders nützlich, wenn WordPress noch HTTP-Adressen erzeugt oder der sichere Aufruf nach einer Serveränderung geprüft werden soll.
Beginnen Sie dennoch am öffentlichen Endpunkt: Das Zertifikat muss für jeden verwendeten Hostnamen gültig sein, bevor Sie WordPress umstellen. Erfassen Sie danach die aktuellen Website-Adressen und die bestehende Redirect-Regel. Nehmen Sie nur die unterstützte Änderung vor, die zu Ihrer Umgebung passt, und prüfen Sie unmittelbar anschließend Startseite, Login, Administration, Medien, REST und Formulare. Ein zweiter Test ohne Admin-Cookies zeigt, was normale Besucher tatsächlich erhalten.
Der SSL Manager stellt kein Zertifikat für beliebige externe Infrastruktur aus und kann keine fehlerhafte DNS-, Webserver-, CDN- oder Proxy-Konfiguration ersetzen. Auch Drittanbieter-Ressourcen mit unsicheren URLs müssen an ihrer Quelle korrigiert werden. Halten Sie deshalb die bisherigen URL- und Redirect-Werte für den Rollback bereit. Bei einer Zertifikatswarnung, Weiterleitungsschleife oder nicht erreichbaren Administration stellen Sie den letzten funktionierenden WordPress-Zustand wieder her und beheben zuerst die vorgelagerte Ursache. Ist HTTPS stabil, dokumentieren Sie den kanonischen Host, die Zertifikatszuständigkeit und den Erneuerungsweg.
Passende AIOWS-Artikel
- Mixed Content in WordPress beheben: HTTPS-Fehler richtig lösen
- WordPress-SSL-Zertifikat abgelaufen: So beheben Sie es
- WordPress-SSL-Probleme nach einem Umzug
Fazit und empfohlener Weg
Bringen Sie zuerst Zertifikat, Hostnamen und Kette am öffentlichen Endpunkt in Ordnung. Stellen Sie danach WordPress auf HTTPS um, verwenden Sie nur eine kanonische Weiterleitung und aktivieren Sie weitergehende Schutzmaßnahmen erst nach vollständiger Prüfung.
