Umfangreiche WordPress-Websites auf https umstellen

Ich habe bereits im April letzten Jahres beschreiben, wie man Dank der kostenlosen SSL-Zertifikaten bei all-inkl seine Website auf https umstellen kann. Dort bin ich auch ein bisschen auf die WordPress-spezifischen Punkte eingegangen. Eigentlich wollte ich damals recht zügig auch diese Website auf https umstellen, aber wie sagte das mal jemand treffend:

Leben ist das, was passiert, während du eifrig dabei bist, andere Pläne zu machen

John Lennon

Daher bin ich erst jetzt dazu gekommen, diese WordPress-Installation auf https umzustellen. Dadurch, dass diese Website knapp 3.000 Blogbeiträge und knapp 30 weitere Unterseiten hat, kann man die schon als eine umfangreiche Website sehen. Ich habe mich an meiner eigenen Anleitung gehalten und daher werde ich diesem Blogartikel nur auf die Unterschiede eingehen.

Warum https?

Mittlerweile gibt es viele Gründe warum man auf https umsteigen sollte. Das Google seit einiger Zeit https als einen zusätzlichen Faktor sieht, hat sich schon mittlerweile herumgesprochen. Es wird auch berichtet, dass gleiche Websites unter https schneller als unter http sind.

Beide der genannten Faktoren – SEO und Performance – sind zwar wichtig, aber im besagten Fall würde ich Sie nicht an erster Stelle oder als wichtigste Argumente für einen Umstieg auf https sehen, sondern, falls Sie auch bei dir auftreten sollten, als netten Nebeneffekt dankend annehmen. Schon alleine deswegen, weil diese positiven Effekte nicht auftreten müssen und wenn sie auftreten eher eine schwache Wirkung erzielen. So wird https von Google selber als ein schwaches Signal eingestuft.

Es gibt wichtigere Gründe für den Umstieg auf https. Zum einen wäre dies die Sicherheit und der Datenschutz: die Kommunikation zwischen dem Browser und der Website ist verschlüsselt.

Darüber hinaus gibt es gesetzliche Bestimmungen, die Betreiber von Websites verpflichten Seiten mit Kontaktformularen bzw. deren Datenübertragung zu verschlüsseln. Das läuft im Endeffekt darauf hinaus, dass man zumindest diese Unterseite auf https umstellt ... und wenn man schon da ist, kann man es auch mit ganzer Präsenz machen.

Wenn man es eng nimmt, würden Blogkommentar-Formulare auch darunter fallen.

Der konkrete Umstieg auf https

Wie bereits schon erwähnt, als Grundlage dient mir meine bestehende Anleitung. Auf all-inkl.com habe ich die Domain angesteuert und dort den Bearbeiten-Icon angeklickt. Anschließend bei SSL Schutz auf Bearbeiten klicken.

SSL beantragen unter Domain → Bearbeiten

In diesem Schritt dann einfach das Zertifikat von Let's Encrypt wählen und bestätigen:

Das kostenlose Zertifikat von Let's Encrypt wählen

Das wäre es dann auch. Im nächsten Fenster kann man zusätzliche Einstellungen tätigen:

SSL erzwingen und HSTS aktivieren

In diesem Schritt kann man SSL erzwingen. Das heißt, es werden alle alten http-Aufrufe auf https umgeleitet. Das ist das gleiche, wie folgende Angabe, die man in die .htaccess-Datei einfügen kann:

Ob man die SSL-Umleitung per Angabe im KAS oder via Code in der .htaccess-Datei macht ist natürlich auch Geschmackssache. Das HSTS habe ich persönlich noch nicht aktiviert. Ich habe da noch nicht ganz die pro- und die contra-Argumente abgewogen und habe die Entscheidung vertagt.

Schritte in WordPress

Ich habe mich gegen das Plugin Really Simple SSL entschieden und habe mit Hilfe von Better Search Replace Pro zuerst ein neues Datenbank-Backup erstellt und dann alle http-Pfade in https-Pfade ersetzt:

Bei einer WordPress-Website, die über mehr als 13 Jahre gewachsen ist, hat das allerdings nicht ausgereicht. Mann muss noch im Theme nach eigenen Anpassungen suchen und diese dann ersetzen. Hierbei können die Mutigen auf Search & Destroy :-) "Suche und Ersetzen"-Funktion des Editors zurückgreifen.

Externe Scripte und Grafiken anpassen

Bei manchen Websites dürfte das aber noch nicht ausreichen um eine komplett sichere Verbindung zu haben. Wenn du zum Beispiel in deinem Firefox ein gelbes Warnzeichen (⚠️) zu sehen bekommst, dann liegt es darin, dass die Website versucht externe Dateien zu laden, die nicht von einer sicheren Verbindung stammen. Das können Scripte, CSS-Dateien, Grafiken, Schriften oder iframes sein.

Schaue daher in deinem Theme nach, ob nicht auf http-Quellen zugegriffen wird und ersetze diese durch ein https-Pfad. Wenn du VG-Wort-Zählpixel einsetzt, dann findest du in diesem Artikel von mir Abhilfe. Dort beschreibe ich, wie man die Zählpixel-Pfade von http auf https umstellt.

Um zu schauen welche externe Quellen als unsicher gelten, kann dir folgendes Tool helfen.

So, nun hoffe ich ich das ich nichts übersehen habe. Falls ja, einfach einen Kommentar hinterlassen und mein Dank ist dir sicher.

---

Aus meinem Weblog via SteemPress publiziert.