SSL certifikát: co u webu bez https vidí návštěvník i Google

Certifikát je to, co dělá z adresy http:// adresu https://. Technicky zajišťuje, že spojení mezi prohlížečem a vaším serverem nikdo cizí nepřečte. To si přečtete v každém návodu.

Pro majitele webu je ale podstatné něco jiného: co se stane, když ho web nemá. A to není nic abstraktního. Vedle adresy se objeví slovo „Nezabezpečeno“. Když návštěvník klikne do políčka s e-mailem, prohlížeč ho varuje. Někdy se místo webu ukáže celá varovná stránka a člověk musí kliknout na tlačítko, aby vůbec pokračoval.

Truhlář, na jehož web přijde měsíčně dvě stě lidí, tímhle přichází o poptávky v okamžiku, kdy o webu nikdo z nich neví nic než tu jednu varovnou hlášku. A oprava je zdarma a trvá zhruba deset minut.

Jestli certifikát na vaší adrese platí a jak je web postavený po zbytku technické stránky, vypíše ověření webu za půl minuty.

Prohlížeče to zpřísňovaly postupně a dnešní stav je nejtvrdší, jaký kdy byl.

Nápis vedle adresy. Chrome i ostatní prohlížeče u nezabezpečeného webu napíšou „Nezabezpečeno“ slovem. Ne ikonku, kterou nikdo nečte, ale české slovo hned vedle adresy vašeho webu.

Varování u formuláře. Ve chvíli, kdy člověk klikne do políčka na e-mail nebo telefon, prohlížeč vyskočí s upozorněním, že se údaje posílají nezabezpečeně. Trefí to přesně ten okamžik, kdy se člověk rozhodl vás oslovit. U poptávkového formuláře je to nejdražší místo, kde se dá vyskočit s varováním.

Zkoušení zabezpečené verze. Dnešní prohlížeče se u napsané adresy nejdřív pokusí otevřít zabezpečenou variantu a teprve když neexistuje, spadnou zpátky na tu nezabezpečenou, případně ukážou varovnou stránku. Pro návštěvníka to znamená prodlevu a hlášku navíc.

Odkaz sdílený v aplikaci. Část aplikací a e-mailových klientů u nezabezpečených odkazů zobrazí vlastní upozornění. Váš odkaz pak vypadá podezřele i v okamžiku, kdy vás někdo doporučuje.

Nic z toho neříká, že by váš web byl nebezpečný. Říká to jen, že se přenáší nešifrovaně. Ten rozdíl pochopí zhruba nikdo z vašich zákazníků a ani to po nich nemůžete chtít.

Tady je potřeba být přesný, protože se v tom hodně přehání. Google zabezpečené spojení bere v potaz od roku 2014 a sám ho tehdy popsal jako slabý signál, který je daleko pod obsahem stránky. Přepnutím na https se ve vyhledávání nikam neposunete. Kdo vám to slibuje, prodává vzduch.

Zajímavější jsou tři vedlejší následky, o kterých se moc nepíše.

Web je dostupný dvakrát. Když certifikát zapnete a nepřesměrujete starou adresu, existuje web na http:// i na https:// zároveň. To jsou pro vyhledávač dvě různá místa se stejným obsahem a musí si mezi nimi vybrat. Řeší se to přesměrováním a určením hlavní adresy stránky.

Návštěvy se přesunou do kolonky „přímé“. Když někdo přijde ze zabezpečeného webu na nezabezpečený, informace o tom, odkud přišel, se cestou ztratí. V měření pak vidíte návštěvu bez zdroje. U webu bez https je proto měření návštěvnosti zkreslené směrem k „lidé přišli odnikud“.

Přijdete o rychlejší způsob přenosu. Novější a znatelně rychlejší protokoly, kterými se dnes stránky stahují, prohlížeče používají jen na zabezpečeném spojení. Web bez certifikátu tak jede po staré cestě, i když je hosting dobrý.

Součet je jednoduchý: samo o sobě to není velký hodnotící faktor, ale je to podmínka, bez které si zbytečně komplikujete všechno ostatní.

Certifikát je zapnutý, adresa začíná https://, a přesto prohlížeč pořád hlásí, že spojení není úplně v pořádku. Skoro vždycky za tím stojí jedna věc: na stránce zůstal obrázek, styl nebo skript načítaný přes starou adresu.

Stačí jeden takový soubor a prohlížeč celou stránku přestane považovat za bezpečnou. Bývá to logo v hlavičce natvrdo napsané v šabloně, obrázek vložený do článku před lety, nebo mapa a počítadlo z cizího webu.

Ve WordPressu na to bývá doplněk, který adresy v databázi přepíše hromadně. U webu na míru se to musí projít ručně. Poznáte to tak, že si na stránce otevřete nástroje pro vývojáře, záložku s hlášeními, a prohlížeč vám přímo vypíše, který soubor to je.

Druhá častá potíž: po přechodu na https zmizí data v Search Console. Není to chyba. Zabezpečená adresa je pro Google jiná vlastnost než ta původní, takže ji přidáte znovu a data začnou přibývat od nuly. Historie se ze staré vlastnosti nepřenese a nedá se s tím nic dělat.

Třetí: web se otevírá do kolečka. To bývá dvojí přesměrování, jedno nastavené v hostingu a druhé v systému webu, které si posílají návštěvníka pořád dokola. Nechte jen jedno z nich.

Postup je stejný u většiny českých hostingů a nepotřebuje programátora.

1. Přihlaste se do administrace hostingu a v nastavení domény najděte položku certifikát nebo SSL. Ve většině tarifů je tam přepínač na certifikát zdarma.
2. Zapněte ho a počkejte, obvykle pár minut. Pak si web otevřete přes https://vasefirma.cz a ověřte, že se načte.
3. Zapněte přesměrování ze staré adresy na novou. U hostingu to bývá druhý přepínač hned vedle. Bez něj zůstane web dostupný dvakrát.
4. Ve WordPressu změňte v Nastavení adresu webu na variantu s https. Jinak se odkazy uvnitř webu budou pořád ukazovat na starou.
5. Přidejte novou adresu v Search Console a vložte tam znovu mapu webu.

Když v administraci hostingu nic takového není, napište podpoře hostingu jednu větu: „Prosím o zapnutí certifikátu a přesměrování http na https.“ U běžných tarifů to udělají a nic za to nechtějí.

Certifikát ale řeší jen šifrování cesty mezi prohlížečem a webem. Když se někdo dostane do webu samotného a začne návštěvníky z výsledků Googlu posílat jinam, zámeček v adresním řádku svítí dál. Jak takové napadení webu vypadá z pohledu Googlu, je v samostatném článku.