HTTPS (Hypertext Transfer Protocol Secure) ist HTTP über eine mit TLS gesicherte Verbindung. Der Server wird dabei per Zertifikat authentifiziert, und die Übertragung ist verschlüsselt. Erkennbar ist HTTPS an https:// am Anfang der URL.
Wie funktioniert HTTPS?
Im HTTP-Standard (RFC 9110) ist das Schema https für Server definiert, die auf einem TCP-Port Verbindungen annehmen und eine für HTTP gesicherte TLS-Verbindung aufbauen können. Ohne Portangabe gilt Port 443. Gesichert heißt dort, dass der Server authentifiziert ist und die Kommunikation Vertraulichkeit und Integrität bietet.
Der Browser bekommt beim Verbindungsaufbau ein Zertifikat des Servers. Danach sind Inhalte, Formulareingaben und Cookies auf dem Weg zwischen Browser und Server verschlüsselt. Die Kennzeichnung der Webseite selbst als sicher folgt daraus nicht, denn auch Phishing-Seiten können HTTPS nutzen.
Bedeutung für SEO
Google kündigte im August 2014 an, HTTPS als Rankingsignal zu verwenden, und bezeichnete es damals als „very lightweight signal“, also als sehr schwaches Signal. Die aktuelle Dokumentation zur Seitenerfahrung führt die sichere Auslieferung nur noch als eine von mehreren Fragen auf und schreibt, dass Aspekte der Seitenerfahrung außer den Core Web Vitals nicht direkt zu besserem Ranking beitragen. Seit Dezember 2015 indexiert Google HTTPS-Seiten standardmäßig, wenn eine HTTP- und eine HTTPS-Version existieren (laut Archivübersicht des Google-Blogs). Für SEO gehören zur Umstellung nach dem Protokollwechsel 301-Weiterleitungen von HTTP auf HTTPS, ein gültiges Zertifikat und das Vermeiden von Mixed Content.
Beispiel
http://example.com/seite/ --> 301 --> https://example.com/seite/
Häufige Fehler
- Gemischte Inhalte. Lädt eine HTTPS-Seite Ressourcen über HTTP, warnt der Browser laut web.dev vor einer nicht vollständig sicheren Seite, und manche Browser laden oder führen die HTTP-Ressourcen nicht aus, wodurch die Seite kaputtgehen kann. Interne Links und Ressourcen sollten daher möglichst relativ oder protokollunabhängig sein.
- Kanonische Verweise auf HTTP. Als Hinweis an Suchmaschinen empfiehlt web.dev ein
rel="canonical"mit der HTTPS-Adresse im<head>jeder Seite. - HSTS zu früh aktivieren. Clients, die die Website als HSTS-Host gespeichert haben, scheitern laut web.dev hart, sobald die TLS-Konfiguration fehlerhaft ist, etwa durch ein abgelaufenes Zertifikat. HSTS sollte erst laufen, wenn der Betrieb stabil ist.
- Sperren aus der Umstellung vergessen. Bei einem Umzug von HTTP auf HTTPS nennt Google
noindex- und robots.txt-Sperren, die nur für die Migration gedacht waren, als häufigen Fehler. Auch Sitemaps müssen die neuen HTTPS-URLs enthalten. - Weiterleitungen auf falsche Ziele. Google sieht häufig Weiterleitungen auf nicht existierende URLs der neuen Version.
Häufige Fragen
Was ist der Unterschied zwischen HTTP und HTTPS? HTTP überträgt Daten unverschlüsselt über Port 80, HTTPS verschlüsselt sie mit TLS, meist über Port 443.
Was braucht man für HTTPS? Ein Zertifikat für die Domain und einen Server, der TLS unterstützt.
Quellen
- RFC 9110 – HTTP Semantics, Abschnitt 4.2.2 (https URI scheme)rfc-editor.org
- HTTPS as a ranking signal – Google Search Central Blog (08/2014)developers.google.com
- Seitenerfahrung in den Google-Suchergebnissen – Google Search Centraldevelopers.google.com
- Was ist HTTPS? – IONOS Digital Guideionos.de
- Enable HTTPS on your servers – web.devweb.dev
- Site move with URL changes – Google Search Centraldevelopers.google.com
Stand: