Eine WordPress-Website sollte heute grundsätzlich über HTTPS erreichbar sein. HTTPS verschlüsselt die Verbindung zwischen dem Browser Ihrer Besucher und dem Webserver und schützt damit beispielsweise Login-Daten, Formulareingaben und andere übertragene Informationen vor dem einfachen Mitlesen während der Übertragung.
Damit HTTPS funktioniert, benötigt Ihre Website ein gültiges SSL/TLS-Zertifikat. Bei einem CURIAWEB Webhosting wird die technische Grundlage dafür bereits bereitgestellt. Trotzdem kann es insbesondere bei bestehenden WordPress-Installationen notwendig sein, WordPress selbst von http:// auf https:// umzustellen.
Wichtig: Ein vorhandenes SSL-Zertifikat bedeutet nicht automatisch, dass Ihre komplette WordPress-Website bereits korrekt über HTTPS ausgeliefert wird. WordPress, interne URLs und Weiterleitungen müssen ebenfalls richtig konfiguriert sein.
Was ist der Unterschied zwischen SSL, TLS und HTTPS? #
Die Begriffe SSL, TLS und HTTPS werden häufig synonym verwendet, technisch bedeuten sie jedoch nicht exakt dasselbe.
- SSL: Die ursprüngliche Technologie zur Verschlüsselung von Verbindungen. Der Begriff „SSL-Zertifikat“ wird heute weiterhin umgangssprachlich verwendet.
- TLS: Der moderne Nachfolger von SSL und die heute tatsächlich verwendete Verschlüsselungstechnologie.
- HTTPS: Die verschlüsselte Variante von HTTP. Das „S“ steht für „Secure“.
Wenn im Alltag von einem SSL-Zertifikat gesprochen wird, ist damit normalerweise ein Zertifikat gemeint, das eine verschlüsselte HTTPS-Verbindung ermöglicht.
Warum sollte WordPress HTTPS verwenden? #
HTTPS ist nicht nur für Online-Shops oder Websites mit sensiblen Kundendaten relevant. Auch eine normale Unternehmenswebsite oder ein Blog sollte verschlüsselt übertragen werden.
Das betrifft insbesondere:
- WordPress-Logins über
/wp-admin/ - Kontaktformulare
- Kunden- und Benutzerkonten
- WooCommerce-Shops
- Kommentare und andere Formulareingaben
- über die Website übertragene personenbezogene Daten
Moderne Browser kennzeichnen Websites ohne HTTPS ausserdem als nicht sicher oder weisen Benutzer auf eine unverschlüsselte Verbindung hin. HTTPS gehört deshalb heute zur technischen Grundkonfiguration einer professionellen Website.
SSL bei CURIAWEB #
Bei CURIAWEB Hosting-Paketen stehen SSL-Zertifikate für die gehosteten Domains zur Verfügung. Die Zertifikatsverwaltung erfolgt auf Ebene des Hosting-Servers beziehungsweise über cPanel.
Bevor du Änderungen an WordPress vornimmst, sollte deshalb zuerst geprüft werden, ob für die betreffende Domain bereits ein gültiges Zertifikat vorhanden ist.
Eine einfache erste Kontrolle ist der Aufruf deiner Website über:
Ersetze deine-domain.ch durch deine tatsächliche Domain.
Wird die Website ohne Zertifikatswarnung geladen, ist grundsätzlich ein gültiges Zertifikat für die aufgerufene Domain vorhanden.
Hinweis: Stelle WordPress nicht auf HTTPS um, solange für die Domain kein funktionierendes SSL-Zertifikat vorhanden ist. Andernfalls kann deine Website nach der Änderung möglicherweise nicht mehr korrekt aufgerufen werden.
Vor der HTTPS-Umstellung: Backup erstellen #
Bei einer neuen WordPress-Installation ist HTTPS häufig bereits korrekt eingerichtet. Bei einer älteren Website können dagegen noch zahlreiche URLs mit http:// in der Datenbank gespeichert sein.
Vor grösseren Änderungen an einer bestehenden Website solltest du deshalb immer ein aktuelles Backup erstellen. Das gilt insbesondere dann, wenn später URLs innerhalb der WordPress-Datenbank ersetzt werden müssen.
Ein Backup sollte mindestens enthalten:
- die WordPress-Dateien
- die WordPress-Datenbank
- die Datei
wp-config.php - gegebenenfalls zusätzliche Konfigurationsdateien
Empfehlung: Nimm Änderungen an URLs oder der WordPress-Datenbank niemals ohne ein aktuelles Backup vor. Ein falsches Suchen und Ersetzen kann eine WordPress-Installation beschädigen.
WordPress auf HTTPS umstellen #
Wenn das SSL-Zertifikat funktioniert, kannst du überprüfen, welche URLs WordPress aktuell verwendet.
Logge dich dazu in deinen WordPress-Adminbereich ein und öffne:
Einstellungen → Allgemein
Dort findest du normalerweise die beiden Felder:
- WordPress-Adresse (URL)
- Website-Adresse (URL)
Bei einer normalen WordPress-Installation können diese beispielsweise so aussehen:
http://deine-domain.ch
Für HTTPS müssen sie entsprechend lauten:
Ändere also http:// in https:// und speichere die Einstellungen.
Warnung: Ändere diese URLs nur, wenn du sicher bist, dass das SSL-Zertifikat für die Domain funktioniert. Falsche Angaben bei „WordPress-Adresse“ oder „Website-Adresse“ können dazu führen, dass Website oder WordPress-Adminbereich nicht mehr erreichbar sind.
Warum gibt es zwei verschiedene WordPress-URLs? #
Bei vielen Websites sind WordPress-Adresse und Website-Adresse identisch. Das muss aber nicht zwingend so sein.
Die WordPress-Adresse bezeichnet den Ort, an dem sich die WordPress-Installation technisch befindet. Die Website-Adresse bezeichnet dagegen die URL, unter der Besucher die Website aufrufen.
Bei speziellen Installationen können diese Werte unterschiedlich sein, beispielsweise wenn WordPress in einem Unterverzeichnis installiert wurde.
Ändere deshalb bei einer bestehenden Sonderkonfiguration nicht einfach beide Werte, ohne vorher zu prüfen, wie WordPress installiert wurde.
HTTP automatisch auf HTTPS weiterleiten #
Nach der Umstellung sollte die unverschlüsselte HTTP-Version deiner Website nicht parallel zur HTTPS-Version erreichbar bleiben.
Ein Aufruf von:
http://deine-domain.ch
sollte automatisch auf:
weitergeleitet werden.
Diese Weiterleitung sorgt dafür, dass Besucher und Suchmaschinen konsequent die verschlüsselte Version verwenden.
Je nach Serverkonfiguration kann die HTTPS-Weiterleitung bereits automatisch eingerichtet sein oder über die Hosting-Konfiguration aktiviert werden. Eine zusätzliche manuelle Änderung der Datei .htaccess ist deshalb nicht in jedem Fall notwendig.
Wichtig: Kopiere nicht einfach irgendeine HTTPS-Weiterleitung aus dem Internet in deine
.htaccess. Fehlerhafte oder doppelte Weiterleitungsregeln können Redirect-Loops verursachen und deine Website unerreichbar machen.
Was ist Mixed Content? #
Nach einer HTTPS-Umstellung kann die Website grundsätzlich über HTTPS erreichbar sein und trotzdem weiterhin unsichere Inhalte laden. Dieses Problem wird als Mixed Content bezeichnet.
Ein typisches Beispiel:
Die eigentliche Seite wird geladen über:
Ein Bild innerhalb dieser Seite wird jedoch weiterhin geladen über:
http://deine-domain.ch/wp-content/uploads/beispiel.jpg
Damit enthält die HTTPS-Seite weiterhin eine unverschlüsselte HTTP-Ressource.
Mixed Content kann beispielsweise auftreten bei:
- Bildern
- Stylesheets (CSS)
- JavaScript-Dateien
- Webfonts
- Videos oder eingebetteten Medien
- Theme-Einstellungen
- Page Buildern
- Plugins
- hart codierten URLs
Warum bleiben nach der Umstellung alte HTTP-URLs bestehen? #
WordPress speichert zahlreiche Informationen in seiner Datenbank. Wenn eine Website ursprünglich unter HTTP aufgebaut wurde, können dort weiterhin vollständige URLs mit http:// gespeichert sein.
Das betrifft beispielsweise Bilder, Links, Widgets, Theme-Einstellungen oder Inhalte von Page Buildern.
Die Änderung der WordPress-Adresse unter Einstellungen → Allgemein ersetzt solche bereits gespeicherten URLs nicht zwangsläufig automatisch.
Deshalb kann es notwendig sein, alte URLs in der Datenbank gezielt von:
http://deine-domain.ch
auf:
zu ersetzen.
HTTP-URLs nicht direkt mit phpMyAdmin ersetzen #
Ein häufiger Fehler besteht darin, über phpMyAdmin eine einfache SQL-Abfrage auszuführen und sämtliche Vorkommen einer URL direkt zu ersetzen.
Davon solltest du bei WordPress Abstand nehmen, wenn du nicht genau weisst, welche Daten betroffen sind.
WordPress, Themes und Plugins können sogenannte serialisierte Daten in der Datenbank speichern. Dabei werden unter anderem Länge und Struktur von Datenwerten berücksichtigt. Ein unsachgemässes Ersetzen kann diese Datenstrukturen beschädigen.
Für umfangreiche URL-Änderungen solltest du deshalb ein WordPress-kompatibles Search-and-Replace-Verfahren verwenden, das mit serialisierten Daten umgehen kann.
Warnung: Führe kein globales Suchen und Ersetzen direkt in der WordPress-Datenbank durch, wenn du nicht sicher bist, wie serialisierte Daten behandelt werden. Erstelle vorher immer ein vollständiges Backup.
Mixed Content im Browser erkennen #
Wenn der Browser trotz HTTPS Probleme meldet, kannst du die Entwicklerwerkzeuge des Browsers verwenden.
In vielen Browsern öffnest du diese über die Entwicklertools und wechselst anschliessend zur Konsole. Dort werden Mixed-Content-Probleme häufig direkt angezeigt.
Typische Meldungen weisen darauf hin, dass eine über HTTPS geladene Seite versucht, eine Ressource über HTTP abzurufen.
Die angezeigte URL hilft dir dabei herauszufinden, welches Bild, Script, Stylesheet oder andere Element noch angepasst werden muss.
Cache nach der HTTPS-Umstellung leeren #
Nach Änderungen an URLs oder Weiterleitungen solltest du vorhandene Caches leeren. Andernfalls kann es passieren, dass du weiterhin eine ältere Version deiner Website siehst und dadurch glaubst, die Umstellung habe nicht funktioniert.
Je nach WordPress-Konfiguration können mehrere Cache-Ebenen vorhanden sein:
- Browser-Cache
- WordPress-Cache-Plugin
- Server-Cache
- Page-Builder-Cache
- CDN- oder Proxy-Cache
Leere deshalb nach der Umstellung die relevanten Caches und teste die Website anschliessend erneut.
HTTPS mit einem CDN oder Cloudflare #
Wenn du einen externen CDN-, Proxy- oder DNS-Dienst wie Cloudflare verwendest, kann die HTTPS-Konfiguration zusätzliche Einstellungen erfordern.
In diesem Fall existiert möglicherweise sowohl eine verschlüsselte Verbindung zwischen Besucher und CDN als auch eine Verbindung zwischen CDN und deinem CURIAWEB Server.
Die SSL-Einstellungen des externen Dienstes müssen deshalb zur Konfiguration des Webservers passen. Eine falsche Einstellung kann beispielsweise zu Weiterleitungsschleifen oder Zertifikatsproblemen führen.
Hinweis: Wenn deine Website über einen externen Proxy oder CDN betrieben wird und nach der HTTPS-Umstellung eine Weiterleitungsschleife entsteht, prüfe zuerst dessen SSL- beziehungsweise HTTPS-Konfiguration.
HTTPS und WordPress-SEO #
Die Umstellung von HTTP auf HTTPS verändert die URL deiner Website. Aus:
http://deine-domain.ch/beispielseite/
wird:
Damit Suchmaschinen die HTTPS-Version eindeutig als gewünschte Variante erkennen, sollte die technische Konfiguration konsistent sein.
Prüfe nach der Umstellung insbesondere:
- HTTP wird dauerhaft auf HTTPS weitergeleitet
- interne Links verwenden HTTPS
- Canonical-URLs verwenden HTTPS
- die XML-Sitemap enthält HTTPS-URLs
- Bilder und andere interne Ressourcen werden über HTTPS geladen
Wenn du deine Website in der Google Search Console oder anderen Webmaster-Werkzeugen verwaltest, solltest du nach einer grösseren Umstellung ebenfalls prüfen, ob die neue HTTPS-Konfiguration korrekt erkannt wird.
Was tun, wenn WordPress nach der Umstellung nicht mehr erreichbar ist? #
Wenn du die WordPress-URL geändert hast und anschliessend weder Website noch Adminbereich korrekt erreichbar sind, liegt häufig eine falsche URL oder eine fehlerhafte Weiterleitung vor.
Typische Symptome sind:
- zu viele Weiterleitungen
- Weiterleitungsschleifen
- eine weisse oder nicht erreichbare Seite
- Weiterleitung auf eine falsche Domain
- Zertifikatswarnungen
- der WordPress-Login funktioniert nicht mehr
Prüfe in diesem Fall zuerst, ob deine Domain tatsächlich über HTTPS erreichbar ist und ob das Zertifikat gültig ist.
Wenn du keinen Zugriff mehr auf den WordPress-Adminbereich hast, können die WordPress-URLs bei Bedarf auch über die Datei wp-config.php vorgegeben werden. Das ist allerdings eine technische Fehlerbehebung und sollte nur durchgeführt werden, wenn du mit der Bearbeitung von WordPress-Konfigurationsdateien vertraut bist.
Wenn du dir unsicher bist, ändere nicht wahllos Datenbankwerte oder Serverkonfigurationen, sondern kontaktiere den CURIAWEB Support.
So prüfst du die HTTPS-Umstellung #
Nach Abschluss der Arbeiten solltest du nicht nur die Startseite kontrollieren. Teste mehrere unterschiedliche Bereiche deiner Website.
- Öffne deine Website über
https://deine-domain.ch. - Rufe zusätzlich
http://deine-domain.chauf und prüfe, ob automatisch auf HTTPS weitergeleitet wird. - Öffne mehrere Unterseiten und Blogbeiträge.
- Prüfe Bilder, Menüs und interne Links.
- Teste Kontaktformulare.
- Öffne den WordPress-Adminbereich.
- Kontrolliere die Browser-Konsole auf Mixed-Content-Meldungen.
- Leere vorhandene Caches und wiederhole den Test.
Bei einem WooCommerce-Shop solltest du zusätzlich Warenkorb, Checkout und Kundenkonto testen.
SSL-Zertifikat und HTTPS sind zwei Teile derselben Umstellung #
Für eine vollständig verschlüsselte WordPress-Website müssen zwei Dinge zusammenspielen:
1. Der Webserver benötigt ein gültiges SSL/TLS-Zertifikat.
Ohne gültiges Zertifikat kann der Browser keine vertrauenswürdige HTTPS-Verbindung zur Domain herstellen.
2. WordPress muss HTTPS konsequent verwenden.
Dazu gehören die WordPress-URLs, interne Ressourcen, Weiterleitungen und gegebenenfalls bereits in der Datenbank gespeicherte URLs.
Erst wenn beide Bereiche korrekt eingerichtet sind, ist die Website vollständig auf HTTPS umgestellt.
Empfehlung: Kontrolliere eine WordPress-Website nach einer HTTPS-Umstellung immer vollständig. Ein Schloss-Symbol auf der Startseite allein beweist nicht, dass alle Unterseiten, Ressourcen und Weiterleitungen korrekt konfiguriert sind.
Probleme mit SSL oder HTTPS bei CURIAWEB? #
Wenn deine Domain trotz aktivem Hosting kein gültiges SSL-Zertifikat erhält, HTTPS nicht funktioniert oder du nach einer Umstellung nicht mehr auf deine WordPress-Website zugreifen kannst, musst du nicht auf Verdacht Änderungen an Server- oder WordPress-Dateien vornehmen.
Kontaktiere in diesem Fall den CURIAWEB Support und nenne uns die betroffene Domain sowie möglichst genau die angezeigte Fehlermeldung. So lässt sich schneller feststellen, ob das Problem beim Zertifikat, bei WordPress, einer Weiterleitung oder einer anderen Konfiguration liegt.
Zusammenfassung #
Für eine sichere WordPress-Website benötigst du ein gültiges SSL/TLS-Zertifikat und eine korrekt auf HTTPS konfigurierte WordPress-Installation. Prüfe zuerst, ob deine Domain über https:// ohne Zertifikatswarnung erreichbar ist. Anschliessend kannst du die WordPress- und Website-Adresse kontrollieren und gegebenenfalls von HTTP auf HTTPS umstellen.
Achte darauf, dass HTTP-Aufrufe dauerhaft auf HTTPS weitergeleitet werden und keine alten HTTP-Ressourcen als Mixed Content geladen werden. Bei älteren Websites können zusätzlich gespeicherte URLs in der WordPress-Datenbank angepasst werden müssen. Erstelle vor solchen Änderungen immer ein Backup und verwende für Datenbankänderungen ein Verfahren, das mit WordPress und serialisierten Daten umgehen kann.
Wenn Zertifikat, WordPress-URLs, Weiterleitungen und interne Ressourcen korrekt konfiguriert sind, wird deine WordPress-Website vollständig und konsistent über HTTPS ausgeliefert.
