WordPress SSL. Jak przejść z http na https

Podczas korzystania z protokołu HTTP wszystkie wiadomości są przesyłane w sposób jawny, tzn. bez szyfrowania. Jeśli ktoś obserwowałby Twoją sieć i sniffował dane, mógłby dokładnie zobaczyć, co robisz w sieci.

Połączenia HTTP również zakładają zaufanie. Przeglądarka łączy się z serwerem WWW i zakłada, że jest to właściwy serwer i właściwa strona. Wyszukuje żądany plik i pobiera go do przeglądarki bez sprawdzania, czy jest on prawdziwy i zgodny z prawem.
Ma to oczywiste implikacje dla bezpieczeństwa!

Co to jest https?

HTTPS to skrót od Hypertext Transfer Protocol Secure. Wykorzystuje on te same zasady co HTTP z przesyłaniem wiadomości i pobieraniem, ale z jedną kluczową różnicą.

Cały ruch między przeglądarką a serwerem WWW jest szyfrowany.

HTTPS weryfikuje również, czy serwer, z którym się łączy, jest legalny i czy na pewno należy do serwisu, z którym wydaje Ci się, że jesteś połączony. Aby osiągnąć ten poziom bezpieczeństwa, używamy SSL.

Co to jest protokół SSL?

SSL to skrót od Secure Sockets Layer. Technicznie jest on znany jako SSL/TLS (Secure Sockets Layer/ Transport Layer Security), ale wszyscy nazywają go SSL.

SSL to protokół bezpieczeństwa internetowego, który wykorzystuje szyfrowanie do ochrony ruchu przepływającego między przeglądarką a serwerem internetowym. W kontekście sieci i WordPressa, bezpieczeństwo SSL jest zapewniane przez certyfikat znany jako certyfikat SSL.

Domena internetowa wymaga certyfikatu SSL, aby móc korzystać z SSL. Jest to część procesu uwierzytelniania w celu utrzymania bezpieczeństwa systemu.

Aby otrzymać certyfikat SSL, właściciel strony internetowej musi złożyć wniosek do niezależnego, zewnętrznego urzędu certyfikacji. Jest on przyznawany na domenę, nazwę www. strony internetowej.

Właściciele muszą udowodnić, że są właścicielami strony internetowej i że podane przez nich dane są poprawne. Urząd certyfikacji sprawdza te dane i przyznaje certyfikat SSL tylko wtedy, gdy jest przekonany, że wszystko jest w porządku.

W ten sposób uzyskuje się pewność, że właściciel certyfikatu SSL dla danej domeny jest jej właścicielem. W ten sposób pokonuje się jedną ze słabości protokołu HTTP, polegającą na ślepym zaufaniu, że przeglądarka jest połączona z legalnym serwerem internetowym.

Po zainstalowaniu w WordPressie, certyfikat SSL umożliwia każdej kompatybilnej przeglądarce żądanie szyfrowanego połączenia. W ten sposób pokonana zostaje główna słabość protokołu HTTP, jaką jest wysyłanie całego ruchu w sposób jawny.

Jak działa ssl i https?

HTTPS działa przy użyciu  initial handshake (wstępnego uścisku dłoni) oraz dwóch ważnych kroków, wymiany certyfikatów i wymiany kluczy.

Wymiana certyfikatu ma miejse, gdy strona wysyła kopię certyfikatu SSL do przeglądarki, aby udowodnić, że jest prawdziwy i do kogo należy.

Wymiana klucza odbywa się w obu kierunkach. Serwer WWW wysyła kopię swojego klucza publicznego do przeglądarki, a przeglądarka wysyła kopię swojego klucza publicznego do serwera WWW.

Klucze te odblokowują zaszyfrowany pakiet przesyłany między serwerem WWW a przeglądarką, dzięki czemu przeglądarka może zrozumieć i wyświetlić żądany plik, stronę WWW.

Proces ten wygląda trochę tak:

• Twoja przeglądarka wysyła wiadomość hello (ClientHello) do serwera WWW. Jest to również znane jako handshake (uścisk dłoni).
• Przeglądarka mówi serwerowi, jakie typy zabezpieczeń może obsługiwać.
• Serwer odpowiada wiadomością ServerHello, informując przeglądarkę, jakiego typu szyfrowania będzie używał.
• Następnie serwer wysyła kopię certyfikatu SSL, aby udowodnić, że jest tym, za kogo się podaje.
• Przesyła również klucz publiczny, aby przeglądarka mogła odszyfrować cały ruch wysyłany przez serwer.
• Przeglądarka sprawdza certyfikat SSL i odpowiada kopią własnego klucza publicznego, dzięki czemu serwer może odszyfrować przyszłe żądania z tej przeglądarki.Serwer przełącza się na szyfrowanie i sprawdza, czy przeglądarka zrozumiała wiadomość.
• Przeglądarka odpowiada, informując serwer, że udało jej się odszyfrować wiadomość i sesja przeglądania jest kontynuowana.

Cały ten proces trwa zazwyczaj zaledwie sekundę lub dwie. Musi się on wydarzyć tylko raz na sesję, ale musi być powtarzany za każdym razem, gdy odwiedzasz nową stronę internetową lub za każdym razem, gdy otwierasz przeglądarkę, aby odwiedzić jakąkolwiek stronę internetową.

O wiele dłużej trawa wyjaśnianie całego procesu działania HTTPS i SSL niż sam proces.

Dlaczego potrzebujesz https na swojej stronie internetowej?

WordPress HTTPS jest teraz domyślne oczekiwana przez  wszystkich użytkowników sieci. Oczekujemy, że zobaczymy kłódkę w naszej przeglądarce, która mówi nam, że strona jest bezpieczna.

Istnieją trzy główne powody, dla których powinieneś używać WordPress HTTPS:

1. Zaufanie
2. Bezpieczeństwo
3. SEO

Przyjrzyjmy się szybko każdemu z nich.

Zaufanie

Zaufanie jest niezbędne w sieci. Nie musimy Ci mówić, że sam jesteś odpowiedzialny za swoje bezpieczeństwo, ale musisz również być w stanie zaufać stronie, na której się znajdujesz.

Zabezpieczanie połączenia między przeglądarką a witryną pomaga budować to zaufanie.

Przeglądarki ostrzegają użytkowników, jeśli strona nie jest bezpieczna i nie korzysta z protokołu HTTPS. Jest to odpowiednie ostrzeżenie, ale jest to tylko ostrzeżenie mimo wszystko.

Postaw się w sytuacji odwiedzającego. Gdybyś trafił na stronę, która ostrzegała Cię, że nie jest bezpieczna, czy zaufałbyś jej?

Bezpieczeństwo

Jako administrator lub właściciel strony internetowej, masz obowiązek wobec wszystkich odwiedzających. Nie tylko po to, by zapewnić im doskonałe doświadczenia z użytkowania, ale także po to, by chronić ich, gdy są z Tobą.

Oznacza to zapewnienie, że ich dane nie są narażone na ryzyko, że nikt nie może śledzić ich ruchu lub włamać się do nich w jakikolwiek sposób, gdy odwiedzają Twoją stronę.

Jeśli prowadzisz sklep internetowy lub sprzedajesz przedmioty, korzystanie z HTTPS jest obowiązkowe, aby chronić dane kart kredytowych i informacje osobiste. Jeśli pozwalasz na rejestrację użytkowników, powinieneś również używać HTTPS do ochrony kont użytkowników.

SEO

SEO jest drugorzędną kwestią w porównaniu do zaufania i bezpieczeństwa, ale nadal jest ważne.

Google poinformowało już w 2014 roku, że będzie używał HTTPS jako czynnika rankingowego. Jeśli strony internetowe nie korzystają z HTTPS, nie będą plasować się tak wysoko jak te, które to robią. Google następnie wdrożył te zmiany w 2018 roku i rozpoczął proces „podnoszenia pozycji” bezpiecznych stron internetowych.

Wymagania dotyczące przejścia z http na https

Od dłuższego czasu większość hostów internetowych obsługuje SSL i HTTPS.

Będziesz potrzebował tylko hosta, który obsługuje SSL. Obecnie większość firm oferuje darmowy certyfikat SSL.

Jak zmienić http na https w Wordpresie?

Masz dwie główne opcje, aby przenieść WordPress z HTTP do HTTPS. Możesz użyć wtyczki lub wykonać zmiany ręcznie.

Każda opcja wymaga, abyś Ty lub Twój hosting zainstalował certyfikat SSL. Ponieważ każdy hosting obsługuje to inaczej, nie możemy tutaj omówić ich wszystkich. Sprawdź swojego hosta internetowego, aby uzyskać instrukcje dotyczące instalacji certyfikatu SSL WordPress.

Gdy certyfikat SSL WordPress jest zainstalowany, przejdź do jednej z tych metod.

Z pomocą wtyczki really simple ssl

Jeśli jesteś początkującym użytkownikiem WordPressa lub nie chcesz kłopotów z ręcznym przełączaniem na WordPress HTTPS, używanie wtyczki jest prawdopodobnie najłatwiejsze.

1. Zaloguj się do swojej witryny WordPress
2. Wybierz Wtyczki i Dodaj nowy z lewego menu pulpitu nawigacyjnego WordPress
3. Wpisz „ssl” w polu wyszukiwania w prawym górnym rogu
4. Wybierz wtyczkę Really Simple SSL i wybierz opcję Zainstaluj teraz
5. Wybierz Aktywuj, gdy opcja stanie się dostępna
6. Wybierz Ustawienia i SSL z lewego menu pulpitu nawigacyjnego WordPress
7. Sprawdź, czy wtyczka znalazła Twój certyfikat SSL

Powinieneś zobaczyć stronę, która informuje o 100% postępie z zielonym przyciskiem przy SSL. To oznacza, że wtyczka znalazła i zweryfikowała Twój certyfikat SSL i może używać HTTPS.

Instalacja certyfikatu SSL ręcznie

Konfigurowanie WordPressa do korzystania z HTTPS ręcznie zajmuje trochę więcej czasu, ale daje Ci pełną kontrolę nad witryną. Oznacza to również, że nie jesteś uzależniony od wtyczki.

Będziesz potrzebował dostępu do pliku WordPress .htaccess, aby wykonać ręczną zmianę. Upewnij się, że masz to przed rozpoczęciem, logując się do menedżera plików swojego hosta i nawigując do roota.

Wybierz .htaccess i wybierz edit. Jeśli możesz edytować plik, możesz kontynuować.

Postępuj dokładnie według każdego kroku, aby poprawnie skonfigurować WordPress HTTPS.

1. Zaloguj się do swojej witryny WordPress
2. Wybierz Ustawienia i Ogólne z lewego menu pulpitu nawigacyjnego WordPress
3. Dodaj 's’ obok http przez WordPress Address (URL) i Site Address (URL)
4. Zapisz zmiany
5. Otwórz swój plik .htaccess w folderze głównym swojego hosta
6. Dodaj następujący kod do pliku przed zamknięciem '# End WordPress’ i zapisz go

RewriteEngine On RewriteCond %{HTTPS} off RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Teraz zaloguj się z powrotem do WordPressa pamiętając, aby dodać „s” do HTTPS. Jeśli zrobiłeś to poprawnie, powinieneś być w stanie zalogować się i korzystać ze swojej witryny bezpiecznie.

Niezależnie od metody, której używasz, aby przejść do WordPress HTTPS, jest kilka rzeczy, które musisz zrobić.

• Zaktualizuj swoją mapę strony – Jeśli używasz Yoast lub innej wtyczki SEO, upewnij się, że zaktualizowana mapa strony, która odzwierciedla przejście do WordPress HTTPS
• Sprawdź wszystkie swoje linki do witryny – Użyj narzędzia internetowego lub wtyczki, aby sprawdzić wszystkie linki zostały przełączone z HTTP na HTTPS.
• Zmień link w Google Analytics lub innych narzędziach – Jeśli używasz narzędzi monitorujących lub analitycznych, będziesz musiał zaktualizować je, aby odzwierciedlić zmiany.

Jak wymusić na WordPressie używanie https?

eśli użyłeś jednej z metod WordPress HTTPS powyżej, nie powinno być powodu, aby to wymusić. Jednak możesz, jeśli chcesz.

Będziesz potrzebował dostępu do swojego pliku wp-config.php, aby to zrobić. Jeśli masz dostęp do pliku .htaccess, powinieneś również być w stanie uzyskać dostęp do wp-config.php w głównym pliku WordPress.

1. Otwórz wp-config.php w swoim ulubionym edytorze tekstu
2. Dodaj 'define(’FORCE_SSL_ADMIN’, true);’ na końcu pliku i zapisz

Jak zawsze, nie dołączaj ’ or ’ w kodzie. Wklej go dokładnie tak, jak na obrazku powyżej.

SSL checker. Czyli jak sprawdzić, czy ssl działa poprawnie na Twojej stronie?

Najprostszym sposobem na sprawdzenie, czy SSL działa poprawnie, jest odwiedzenie swojej strony internetowej. Wszystkie przeglądarki informują o próbie wejścia na niezabezpieczoną stronę HTTP.

Jeśli SSL działa, Twoja strona powinna pojawić się w przeglądarce. Powinna również posiadać kłódkę przy adresie URL.

Jeśli SSL nie działa, w przeglądarce powinno pojawić się ostrzeżenie o próbie odwiedzenia niezabezpieczonej witryny.

Alternatywnie, możesz sprawdzić swoją stronę w DigiCert (ssl checker), jednym z głównych urzędów certyfikacji. Dodaj swój adres URL w polu i wybierz sprawdź serwer.

Częste błędy https w Wordpresie

Proces zabezpieczania WordPressa za pomocą HTTPS jest dość prosty, ale nie jest pozbawiony wyzwań. Możesz natknąć się na błędy podczas próby aktywacj SSL na Wordpresie.

Miejmy nadzieję, że jedno z poniższych rozwiązań może pomóc:

Błąd „Twoje połączenie nie jest prywatne”

Błąd „Twoje połączenie nie jest prywatne” oznacza, że certyfikat SSL nie może być poprawnie odczytany przez przeglądarkę. Jest to głównie problem związany z lokalną przeglądarką lub urządzeniem, a nie z serwerem.

Istnieje kilka rozwiązań tego problemu. Wypróbuj każde z nich po kolei, aby zobaczyć, co się stanie.

• Załaduj ponownie stronę lub odśwież (F5 lub ctrl+F5)
• Wypróbuj inną przeglądarkę
• Spróbuj przeglądania w trybie incognito lub prywatnym
• Wyczyść pamięć podręczną przeglądarki i pliki cookie
• Upewnij się, że zegar komputera wskazuje odpowiednią godzinę
• Wyczyść SSL na komputerze (Windows)

Aby wyczyścić stan SSL w systemie Windows, wykonaj poniższe czynności:

• Kliknij prawym przyciskiem myszy przycisk Start systemu Windows i wybierz Połączenia sieciowe.
• Wybierz Centrum sieci i udostępniania z panelu środkowego
• Wybierz Opcje internetowe w lewym dolnym rogu nowego okna
• W nowym oknie wybierz zakładkę Zawartość
• Zaznacz opcję Wyczyść stan SSL i wybierz Zastosuj

Kłódka SSL nie pojawia się

Jeśli zainstalowałeś certyfikat SSL i przetestowałeś go, ale kłódka nadal się nie pojawia, oznacza to, że na stronie znajdują się niezabezpieczone linki (HTTP, a nie HTTPS).

Przeglądarka sprawdza wszystkie linki na stronie, zanim uzna ją za bezpieczną. Dopiero po sprawdzeniu wszystkich linków przeglądarka wyświetla kłódkę. Jeśli na stronie znajdują się jakiekolwiek niezabezpieczone linki, nie zobaczysz kłódki.

Aby to naprawić, po prostu sprawdź wszystkie linki na stronie i upewnij się, że każdy z nich używa HTTPS. Zmień te, które tego nie robią i ponów próbę.

„Not Secure” Ostrzeżenie na stronach logowania i administratora WordPressa

Jeśli widzisz „Not Secure” podczas logowania do WordPressa, oznacza to tylko, że strona nie jest sprawdzana przez certyfikat SSL.

Aby rozwiązać ten problem, zapoznaj się z sekcją „Jak zmusić WordPressa do używania HTTPS” powyżej. Po zmuszeniu WordPressa, błąd powinien zniknąć

Pętle przekierowań

Jeśli widzisz w przeglądarce „ERR_TOO_MANY_REDIRECTS”, oznacza to, że co najmniej jedno przekierowanie na Twojej stronie wskazuje na inne miejsce.

Przekierowania są powszechne w sieci i zazwyczaj działają dobrze. Jest to mechanizm informowania przeglądarki, że zasób, którego szuka, można znaleźć w innym miejscu.

Jeśli przeglądarka przejdzie do tej innej lokalizacji i znajdzie inne przekierowanie, które każe jej szukać gdzie indziej, wyświetli błąd „ERR_TOO_MANY_REDIRECTS”.

Najpierw sprawdź swoją przeglądarkę, tak na wszelki wypadek.

Wyczyść pamięć podręczną przeglądarki i pliki cookie, a następnie ponownie spróbuj połączyć się z linkiem.

Jeśli działa, to był to błąd przeglądarki, a nie błąd WordPressa. Nie musisz robić nic więcej.

Jeśli błąd nadal się pojawia, spróbuj wykonać jedną lub więcej z poniższych czynności:

1. Wyczyść pamięć podręczną WordPress – Jeśli używasz narzędzia do buforowania, takiego jak WP Cache lub WP Rocket, wyczyść pamięć podręczną i ponów próbę. Uszkodzenie pamięci podręcznej może być przyczyną przekierowania.
2. Sprawdź swoje linki – Użyj usługi takiej jak Redirect Detective, aby sprawdzić przekierowania. Zidentyfikuj przekierowania i sprawdź każde z nich. W razie potrzeby zmień je.
3. Tymczasowo wyłącz wtyczki SEO – Niektóre wtyczki SEO przekierowują linki jako część swoich funkcji. Wyłącz swoją wtyczkę SEO, wyczyść pamięć podręczną WordPressa i przeglądarki i spróbuj ponownie. Jeśli nie widzisz błędu, rozwiąż problem z wtyczką. Jeśli tak, spróbuj innego kroku.
4. Ponownie sprawdź HTTP do HTTPS – Jeśli postępowałeś zgodnie z krokami w tym przewodniku i widzisz błąd, ponownie przejrzyj każdy krok, który podjąłeś, aby upewnić się, że masz to dokładnie tak. Wszelkie błędy w konfiguracji SSL mogą powodować błędy przekierowań.
5. Przełącz się z wtyczki HTTPS na ręczny – Jeśli sprawdziłeś wszystko i wszystko wygląda dobrze i użyłeś wtyczki do WordPress HTTPS, rozważ zrobienie tego ręcznie. Niektóre wtyczki mogą rzucać losowe błędy.

Jak zaktualizować swoją stronę w usługach internetowych?

Google Analytics

Zmiana z HTTP na HTTPS jest bardzo prosta w Google Analytics.

1. Zaloguj się do Google Analytics
2. Wybierz opcję Administrator na dole po lewej stronie
3. Wybierz Ustawienia właściwości
4. Wybierz witrynę pod Property w lewym górnym rogu środkowego panelu (pod niebieskim przyciskiem Create Property)
5. Ustaw domyślny adres URL w środkowym okienku, aby odzwierciedlał HTTPS
6. Wybierz niebieski przycisk Zapisz na dole strony

Google Search Console

Aby nadal monitorować swoją witrynę, musisz zmienić protokół HTTP na HTTPS w Google Search Console.

Google Search Console nie ma opcji „przełącz na HTTPS”. Będziesz musiał dodać swoją witrynę jako nową własność i przeprowadzić weryfikację, jeśli zostaniesz o to poproszony. Jest to prosty proces, który zajmuje kilka sekund.

1. Zaloguj się do Google Search Console
2. Wybierz swoją witrynę w lewym górnym rogu i wybierz Dodaj własność
3. Dodaj wersję HTTPS swojej witryny i wykonaj następujące kroki

Narzędzia dla webmasterów Bing

Jeśli korzystasz z Bing Webmaster Tools, Twoja praca jest łatwiejsza. Tak długo, jak wykonasz kroki WordPress HTTPS w tym artykule i sprawdzisz, czy działają, Bing automatycznie wykryje zmianę i zaktualizuje ustawienia, aby ją odzwierciedlić.

Platformy mediów społecznościowych

Nie zapomnij zaktualizować pełnego adresu URL na swoich kontach w mediach społecznościowych. Zmień na HTTPS w każdej sieci społecznościowej, z której korzystasz i umieść link z powrotem do swojej strony.

Będziesz musiał zalogować się do każdego z nich indywidualnie i edytować wszelkie wzmianki o swojej witrynie z głównego obszaru ustawień.

Najczęściej zadawane pytania dotyczące WordPress SSL/HTTPS

Staraliśmy się odpowiedzieć na najczęstsze pytania dotyczące WordPress SSL i korzystania z HTTPS, ale na wypadek, gdybyś nadal je miał, oto kilka kolejnych pytań i odpowiedzi.

Czy przejście na HTTPS wpłynie na rankingi wyszukiwarek?

Przejście na HTTPS będzie miało wpływ na rankingi wyszukiwarek, ale w pozytywny sposób. Google i prawdopodobnie inne wyszukiwarki używają HTTPS i SSL jako pozytywnych markerów. Strony internetowe, które korzystają z SSL są postrzegane jako bardziej godne zaufania, a zatem bardziej godne promocji niż strony bez.

Dlaczego witryna WordPress pokazuje „Nie jest bezpieczna”?

Twoja witryna WordPress pokazuje „Not Secure”, ponieważ nie ma certyfikatu SSL lub coś jest nie tak z nim. Będziesz musiał rozwiązać problem z hostingiem, aby rozwiązać ten problem. Większość hostingów posiada sekcję SSL w cPanelu lub w obszarze administracyjnym, gdzie można sprawdzić status certyfikatu SSL.

Dlaczego na stronie SSL nie ma znaku kłódki?

Na stronie SSL nie ma znaku kłódki, ponieważ strona, na której się znajdujesz, zawiera niezabezpieczone linki. Oznacza to, że jeden lub więcej linków na stronie używa protokołu HTTP, a nie HTTPS. Jeśli jest to Twoja witryna, sprawdź wszystkie linki na stronie i zmień je na HTTPS. Jeśli nie jest to Twoja witryna, powiadom administratora witryny lub spróbuj użyć innej strony.