Hva er HTTPS?
HTTPS (Hypertext Transfer Protocol Secure) er en internett-kommunikasjonsprotokollen som beskytter integritet og konfidensialitet av data mellom brukerens datamaskin og nettstedet. Brukere kan forvente en sikker og privat online opplevelse når du bruker et nettsted. Vi oppfordrer deg til å vedta HTTPS for å beskytte brukernes tilkoblinger til ditt nettsted, uavhengig av innhold på nettstedet.,
Data som er sendt ved hjelp av HTTPS er sikret via Transport Layer Security protocol (TLS), som inneholder tre nøkkel lag av beskyttelse:
- Kryptering—kryptere utvekslet data for å holde den trygg fra tyvlyttere borte. Det betyr at mens brukeren surfer på et nettsted, ingen kan «lytte» til sine samtaler, spore sine aktiviteter over flere sider, eller stjele informasjon.
- Data integritet—data kan ikke endres eller skadet under overføring, med vilje eller på annen måte, uten å bli oppdaget.,
- Godkjenning—beviser at brukerne kommunisere med det aktuelle nettstedet. Det beskytter mot man-in-the-middle-angrep og bygger brukeren stoler på, som kan oversettes til andre forretningsmessige fordeler.
Beste praksis ved implementering HTTPS
Bruk robust sikkerhet sertifikater
Du må få et sikkerhetssertifikat som en del av aktivering av HTTPS-for nettstedet ditt. Sertifikatet er utstedt av en sertifiseringsinstans (CA), som tar skritt for å verifisere at din web-adresse faktisk tilhører din organisasjon, og dermed beskytte dine kunder fra man-in-the-middle-angrep., Når du setter opp din sertifikat, sikre et høyt nivå av sikkerhet ved å velge en 2048-biters nøkkel. Hvis du allerede har sertifikat med et svakere tasten (1024-bit), kan du oppgradere den til 2048 bits. Når du velger stedet sertifikat, må du huske følgende:
Bruk server-side 301 redirects
Omdirigere brukere og søkemotorer til HTTPS-side, eller ressurs med server-side 301 HTTP omdirigeringer.
Kontroller at HTTPS-sider kan bli gjennomsøkt og indeksert av Google
- Må du ikke blokkere HTTPS-sider av roboter.txt-filer.,
- ikke inkluderer
noindex– tag-er i HTTPS-sider. - Bruk URL-Inspeksjon verktøyet for å teste om Googlebot kan få tilgang til dine sider.
Støtte HSTS
Vi anbefaler at HTTPS nettsteder support HSTS (HTTP Strenge Transport Security). HSTS forteller leseren til å be om HTTPS-sider automatisk, selv om brukeren skriver inn http i nettleserens adresselinje. Det forteller også Google til å tjene sikre Nettadresser i søkeresultatene. Alt dette minimerer risikoen for å tjene usikret innhold til brukerne.,
for Å støtte HSTS, kan du bruke en web server som støtter det, og aktiverer funksjonaliteten.
Selv om det er sikrere, HSTS legger kompleksiteten til rollback strategi. Vi anbefaler å aktivere HSTS denne måten:
- Rulle ut HTTPS-sider uten HSTS første.
- Start for å sende HSTS overskrifter med en kort
max-age. Overvåke trafikken både fra brukere og fra andre kunder, og også pårørende’ ytelse, for eksempel annonser. - Sakte øke HSTS
max-age., -
Hvis HSTS påvirker ikke dine brukere og søkemotorer negativt, kan du, hvis du ønsker det, kan du be ditt nettsted for å bli lagt til HSTS preload liste som brukes av de fleste store nettleserne.
bør du Vurdere å bruke HSTS forhåndslaste
Hvis du aktiverer HSTS, kan du eventuelt støtte HSTS forhåndslaste for ekstra sikkerhet og bedre ytelse. For å aktivere forhåndslaste, du må besøke hstspreload.org og følg innlevering krav for nettstedet ditt.,
Unngå de vanligste fallgruvene
Hele prosessen med å lage siden din sikker med TLS, unngå følgende feil:
| – Saken | Handling |
|---|---|
| Utløpte sertifikater | sørg for at sertifikatet er alltid oppdatert. |
| Sertifikat registrert til feil nettside navn | Sjekk at du har fått et sertifikat for alle vertsnavn at nettstedet fungerer. For eksempel, hvis sertifikatet dekker bare www.example.com en besøkende som laster nettstedet ditt ved hjelp av bare et eksempel.,com (uten «www.»prefiks) vil bli blokkert av et sertifikat navn mismatch. |
| Mangler Server navn indikasjon (SNI) støtte | sørg for at din web server støtter SNI og at publikum bruker nettlesere som støttes, generelt. Mens SNI støttes av alle moderne nettlesere, trenger du en dedikert IP-hvis du trenger til å støtte eldre nettlesere. |
| Gjennomgang problemer | ikke blokkerer HTTPS nettstedet fra å gjennomsøke ved hjelp av robots.txt. |
| Indeksering problemer | Tillat indeksering av dine sider ved søkemotorer der det er mulig., Unngå noindex – tag-en. |
| Gammel protokoll versjoner | Gammel protokoll versjoner er sårbare; sørg for at du har de nyeste og nyeste versjoner av TLS bibliotek og implementere den nyeste protokollen versjoner. |
| Blandet sikkerhet elementer | Embed bare HTTPS innhold på HTTPS-sider. |
| Annet innhold på HTTP og HTTPS | Kontroller at innholdet på nettstedet HTTP og HTTPS-er den samme. |
| HTTP status code feil på HTTPS | Sjekk at ditt nettsted gir den riktige HTTP-statuskoden., For eksempel 200 OK tilgjengelige sider, eller 404 eller 410 for sider som ikke eksisterer. |
Mer tips
Se HTTPS migrasjon vanlige Spørsmål for mer tips om bruk av HTTPS-sider på nettstedet ditt.
Migrere fra HTTP til HTTPS
Hvis du går til nettstedet fra HTTP til HTTPS, Google behandler dette bare som et nettsted flytte med URL endringer. Dette kan midlertidig påvirke noen av trafikken tall. Se nettstedet flytte oversikt side for å lære mer.,
Legg til ny HTTPS eiendom for å Søke Konsollen: Søk Konsollen behandler HTTP og HTTPS separat: data er ikke delt mellom egenskaper i Søk-Konsollen.
Se feilsøking-side for sitemap flytter til feilsøking av problemer med overføringen.