{"id":1165,"date":"2026-03-21T09:48:46","date_gmt":"2026-03-21T06:48:46","guid":{"rendered":"https:\/\/allinonewpsettings.com\/blog\/?p=1165"},"modified":"2026-08-04T21:56:30","modified_gmt":"2026-08-04T21:56:30","slug":"https-in-wordpress-erzwingen","status":"publish","type":"post","link":"https:\/\/allinonewpsettings.com\/blog\/de\/https-in-wordpress-erzwingen\/","title":{"rendered":"HTTPS in WordPress ohne Weiterleitungsschleife erzwingen"},"content":{"rendered":"

Ein Websitebetreiber aktiviert gleichzeitig ein HTTPS-Plugin, eine Apache-Regel und die entsprechende CDN-Funktion. Daraufhin springen Anfragen zwischen HTTP und HTTPS, weil das CDN den Ursprung per HTTP erreicht und WordPress jede weitergeleitete Anfrage f\u00fcr unsicher h\u00e4lt.<\/p>\n

Eine zus\u00e4tzliche Weiterleitung versch\u00e4rft den Fehler. Ben\u00f6tigt werden funktionierendes TLS, ein eindeutiger kanonischer Host, genau eine zust\u00e4ndige Stelle f\u00fcr die Weiterleitung und verl\u00e4ssliche Protokollinformationen zwischen Proxy und WordPress.<\/p>\n

\nInhaltsverzeichnis<\/strong><\/p>\n
    \n
  1. Was das Thema bedeutet<\/a><\/li>\n
  2. Ein realistisches WordPress-Beispiel<\/a><\/li>\n
  3. Warum es wichtig ist und wann es eingesetzt wird<\/a><\/li>\n
  4. Der einfache Weg f\u00fcr Einsteiger<\/a><\/li>\n
  5. Der technische Weg<\/a><\/li>\n
  6. Risiken, h\u00e4ufige Fehler, Backup und R\u00fcckweg<\/a><\/li>\n
  7. Wie AIOWS unterst\u00fctzt: AIOWS SSL Manager<\/a><\/li>\n
  8. Passende AIOWS-Artikel<\/a><\/li>\n
  9. Fazit und empfohlener Weg<\/a><\/li>\n
  10. Offizielle Quellen<\/a><\/li>\n<\/ol>\n<\/div>\n

    Was das Thema bedeutet<\/h2>\n

    HTTPS zu erzwingen bedeutet, unterst\u00fctzte HTTP-Anfragen auf eine kanonische HTTPS-Adresse umzuleiten, nachdem Zertifikat und verschl\u00fcsselter \u00dcbertragungsweg funktionieren. Die Regel kann beim CDN, Webserver oder in WordPress liegen; dieselbe Entscheidung sollte jedoch nicht mehrfach getroffen werden.<\/p>\n

    Bei einem Proxy kann der Besucher HTTPS nutzen, w\u00e4hrend die Verbindung zu WordPress per HTTP erfolgt. WordPress darf weitergeleitete Protokoll-Header nur von bekannten Proxys \u00fcbernehmen. Andernfalls drohen Schleifen oder manipulierte Angaben.<\/p>\n

    Ein realistisches WordPress-Beispiel<\/h2>\n

    Im Beispiel leitet das CDN Besucher auf HTTPS um, der Ursprung sieht jedoch eine HTTP-Verbindung und das Plugin reagiert mit einer weiteren Weiterleitung. Zus\u00e4tzlich \u00e4ndert die Apache-Regel den Hostnamen. Dadurch geraten auch Webhooks und wp-admin<\/code> in die Schleife.<\/p>\n

    Nachdem direktes HTTPS am Ursprung gepr\u00fcft wurde, \u00fcbernimmt das CDN allein die \u00f6ffentliche Weiterleitung. WordPress wertet das Proxyschema aus einer vertrauensw\u00fcrdigen Quelle aus; die doppelten Plugin- und Apache-Regeln entfallen. So erreicht jede Kombination aus Host und Protokoll das Ziel genau einmal.<\/p>\n

    Warum es wichtig ist und wann es eingesetzt wird<\/h2>\n

    Einheitliches HTTPS sch\u00fctzt Sitzungen und Formulardaten und verhindert, dass WordPress Adressen mit unterschiedlichen Protokollen erzeugt. Fehlerhafte Regeln k\u00f6nnen dagegen Besucher und Administratoren aussperren, API-Callbacks unterbrechen oder eine Schleife am Edge zwischenspeichern.<\/p>\n

    Die Erzwingung beginnt erst, wenn alle \u00f6ffentlichen Hostnamen g\u00fcltige Zertifikate besitzen, der Weg zum Ursprung gekl\u00e4rt ist und WordPress die vorgesehenen kanonischen Adressen verwendet. HSTS wird sp\u00e4ter separat bewertet, weil Browser diese Vorgabe langfristig speichern.<\/p>\n

    Der einfache Weg f\u00fcr Einsteiger<\/h2>\n
      \n
    1. Pr\u00fcfen Sie, ob jeder unterst\u00fctzte Hostname direkt per HTTPS und mit g\u00fcltigem Zertifikat erreichbar ist.<\/li>\n
    2. Notieren Sie WordPress- und Website-Adresse, CDN-Modus, Webserverregeln und vorhandene Plugin-Weiterleitungen.<\/li>\n
    3. Bestimmen Sie genau eine Stelle f\u00fcr die HTTP-zu-HTTPS-Weiterleitung und deaktivieren Sie \u00dcberschneidungen.<\/li>\n
    4. Ist ein vertrauensw\u00fcrdiger Proxy vorgeschaltet, muss WordPress dessen weitergeleitetes Protokoll sicher erkennen.<\/li>\n
    5. Testen Sie Hauptdomain und www<\/code>, HTTP und HTTPS, Anmeldung, Abmeldung, Passwort-Reset, Formulare, REST-Anfragen und Webhooks, bevor die Regel dauerhaft wird.<\/li>\n<\/ol>\n

      Der technische Weg<\/h2>\n

      Erstellen Sie eine kleine Matrix der \u00f6ffentlichen Hostnamen und Protokolle und pr\u00fcfen Sie Status sowie Location<\/code>-Header ohne Cookies. Eine HTTP-Anfrage sollte den HTTPS-Host \u00fcblicherweise mit genau einer Weiterleitung erreichen; eine korrekte HTTPS-Anfrage darf nicht allein wegen der internen Proxyverbindung erneut umgeleitet werden.<\/p>\n

      Kontrollieren Sie die Vertrauensgrenze f\u00fcr Forwarded<\/code> und X-Forwarded-Proto<\/code>, Multisite-Domain-Mapping, Healthchecks, OAuth- und Zahlungs-Callbacks, REST und XML-RPC, geplante Aufrufe sowie Caches f\u00fcr Weiterleitungen.<\/p>\n

      Risiken, h\u00e4ufige Fehler, Backup und R\u00fcckweg<\/h2>\n

      Kombinieren Sie nicht unkoordiniert Plugin-, Server- und CDN-Regeln und vertrauen Sie nicht den Forwarded-Headern beliebiger Clients. Verfr\u00fchte Datenbank\u00e4nderungen, umgeleitete Healthchecks, gecachte Schleifen und HSTS w\u00e4hrend der Fehlersuche erschweren die Wiederherstellung.<\/p>\n

      Ein gepr\u00fcfter Zugang zum Ursprung oder zur Administration muss erhalten bleiben. Fallen Anmeldung, Callbacks oder Healthchecks aus, deaktivieren Sie die einzelne neue Regel und stellen Sie gegebenenfalls die vorherigen WordPress-Adressen wieder her. Geleert wird nur der von der \u00c4nderung betroffene Weiterleitungs-Cache.<\/p>\n

      \n

      Wie AIOWS unterst\u00fctzt:<\/p>\n

      AIOWS SSL Manager<\/h2>\n

      Der AIOWS SSL Manager zeigt unterst\u00fctzte WordPress-Einstellungen f\u00fcr HTTPS, Weiterleitungen und Mixed Content an einer Stelle. Er kann die WordPress-seitige Weiterleitung \u00fcbernehmen, wenn diese Zust\u00e4ndigkeit bewusst gew\u00e4hlt und konkurrierende Regeln entfernt wurden.<\/p>\n

      Vor der Aktivierung m\u00fcssen Zertifikat und Verbindung zum Ursprung funktionieren, die kanonischen WordPress-Adressen feststehen und ein R\u00fcckweg zur Administration verf\u00fcgbar sein. Danach folgen die Host-Protokoll-Matrix sowie Tests von Anmeldung, Formularen, REST-Aufrufen und Callbacks.<\/p>\n

      Externe Zertifikate, den Origin-Modus eines CDN oder Webserverregeln kann das Modul nicht korrigieren. Die jeweiligen Betreiber m\u00fcssen diese Ebenen so abstimmen, dass AIOWS verl\u00e4ssliche Protokollinformationen erh\u00e4lt und nicht gegen eine zweite Weiterleitung arbeitet.<\/p>\n

      AIOWS SSL Manager ansehen<\/a>AIOWS-Tarife vergleichen<\/a><\/p>\n<\/section>\n

      Passende AIOWS-Artikel<\/h2>\n