Website auf HTTPS umstellen: Zertifikat, Weiterleitung und gemischte Inhalte

Wenn Sie Ihre Website auf HTTPS umstellen, wird die Verbindung zwischen dem Browser Ihrer Besucher und dem Webserver verschlüsselt. Dafür braucht die Website ein passendes TLS-Zertifikat. Zusätzlich muss der Server Anfragen an die bisherige HTTP-Adresse zuverlässig auf HTTPS weiterleiten. Werden diese Schritte nicht sauber umgesetzt, können Warnmeldungen, Weiterleitungsschleifen oder gemischte Inhalte auftreten.

HTTPS schützt die übertragenen Daten vor dem einfachen Mitlesen und erschwert unbemerkte Änderungen auf dem Übertragungsweg. Es bestätigt jedoch nicht automatisch, dass die Inhalte einer Website vertrauenswürdig oder frei von Schadsoftware sind. Auch regelmäßige Updates, sichere Zugangsdaten und eine geeignete Absicherung des Servers bleiben wichtig.

Bei WordPress betrifft die Umstellung nicht nur die Serververbindung. Die Website-Adresse in den Einstellungen, Verweise innerhalb von Beiträgen und die Einbindung von Bildern oder Skripten müssen ebenfalls berücksichtigt werden. Gehen Sie daher schrittweise vor und prüfen Sie die Website nach jedem wichtigen Schritt.

Voraussetzungen für die Umstellung

Bevor Sie Änderungen vornehmen, sollten Sie klären, ob Ihr Webhosting HTTPS für die verwendete Domain unterstützt und wie sich ein Zertifikat einrichten lässt. Warum ein kostenloses Zertifikat zu den Mindestanforderungen an ein Hosting gehört, steht im Beitrag zum WordPress-Hosting. Die genauen Möglichkeiten unterscheiden sich je nach Hosting-Umgebung. Häufig gibt es eine Verwaltungsoberfläche, über die ein Zertifikat aktiviert und seine Erneuerung eingerichtet wird.

Prüfen Sie außerdem, welche Hostnamen Ihre Website verwendet. Dazu kann neben einer Adresse ohne „www“ auch eine Variante mit „www“ gehören. Das Zertifikat muss die Adressen abdecken, über die Besucher Ihre Website tatsächlich aufrufen. Andernfalls kann der Browser eine Warnung anzeigen, obwohl für eine andere Variante bereits ein Zertifikat eingerichtet ist.

Vor dem Wechsel empfiehlt sich eine aktuelle Sicherung der Website-Dateien und der Datenbank. So können Sie Änderungen zurücknehmen, falls die Website nicht mehr wie erwartet funktioniert. Notieren Sie außerdem die bisherigen Einstellungen, besonders die WordPress-Adresse und die Website-Adresse.

Zertifikat einrichten und prüfen

Richten Sie das Zertifikat über die für Ihren Server vorgesehene Verwaltung ein. Achten Sie darauf, dass es für den richtigen Hostnamen ausgestellt wurde und vom Browser als gültig erkannt wird. Ein Zertifikat kann zwar installiert sein, aber dennoch nicht korrekt zur aufgerufenen Adresse passen oder unvollständig eingebunden sein.

Rufen Sie die HTTPS-Adresse zunächst direkt auf, bevor Sie alle HTTP-Aufrufe weiterleiten. Die Startseite sollte ohne Zertifikatswarnung laden. Prüfen Sie auch wichtige Unterseiten und, falls vorhanden, den Administrationsbereich. Wenn bereits an dieser Stelle eine Warnung erscheint, sollten Sie zuerst die Zertifikatskonfiguration mit der Hosting-Verwaltung oder dem technischen Support klären.

Ein Zertifikat ist zeitlich begrenzt und muss erneuert werden. Je nach Hosting-Umgebung kann die Erneuerung automatisch erfolgen oder eine regelmäßige Kontrolle erfordern. Verlassen Sie sich nicht allein darauf, dass die Website gerade erreichbar ist: Ein abgelaufenes Zertifikat kann später zu Warnmeldungen führen.

WordPress auf HTTPS umstellen

Sobald die HTTPS-Verbindung funktioniert, passen Sie die Adressen in WordPress an. In den allgemeinen Einstellungen gibt es dafür üblicherweise Felder für die WordPress-Adresse und die Website-Adresse. Beide sollten auf die HTTPS-Variante zeigen, sofern WordPress und die Website unter derselben Domain betrieben werden.

Speichern Sie die Änderung erst, wenn HTTPS zuverlässig erreichbar ist. Werden die Adressen zu früh angepasst, kann der Zugriff auf die Website oder die Anmeldung vorübergehend scheitern. Falls Sie sich nach einer Änderung nicht mehr anmelden können, helfen je nach Serverzugriff die Sicherung oder eine Rücknahme der Konfiguration durch die Hosting-Verwaltung.

Die geänderten Einstellungen passen nicht zwangsläufig alle gespeicherten Verweise an. In Beiträgen, Seiten, Menüs oder individuellen Einstellungen können weiterhin vollständige HTTP-Adressen stehen. Das betrifft zum Beispiel Bilder, eingebettete Dateien oder Verweise auf Inhalte innerhalb der eigenen Website.

Prüfen Sie solche Verweise gezielt und ändern Sie sie auf HTTPS. Bei einer umfangreichen Datenbankänderung ist besondere Vorsicht nötig: WordPress-Erweiterungen und Themes können Werte in einem besonderen Speicherformat ablegen. Eine unbedachte Suche-und-Ersetzen-Aktion direkt in der Datenbank kann solche Einträge beschädigen. Nutzen Sie für Änderungen eine dafür geeignete Vorgehensweise und sichern Sie die Datenbank vorher.

HTTP automatisch auf HTTPS weiterleiten

Wenn die HTTPS-Version funktioniert, sollte die bisherige HTTP-Adresse dauerhaft auf die entsprechende HTTPS-Adresse verweisen. So landen Besucher und ältere Verweise automatisch bei der verschlüsselten Variante. Die Weiterleitung wird üblicherweise auf Serverebene oder über die Hosting-Verwaltung eingerichtet.

Achten Sie darauf, dass nicht nur die Startseite, sondern auch Unterseiten korrekt weitergeleitet werden. Eine Anfrage an eine alte HTTP-Unterseite sollte zur gleichen Seite unter HTTPS führen und nicht pauschal auf die Startseite springen. Das erhält die Funktion alter Lesezeichen und externer Verweise.

Prüfen Sie außerdem, ob es nur eine endgültige Zieladresse gibt. Wenn mehrere Weiterleitungen hintereinander ausgelöst werden oder HTTP und HTTPS einander wechselseitig aufrufen, entsteht eine Weiterleitungsschleife. Die Website ist dann unter Umständen nicht erreichbar. Häufig liegt die Ursache in widersprüchlichen Regeln auf dem Server und in WordPress oder in einer zwischengespeicherten Konfiguration.

Richten Sie die Weiterleitung erst ein, wenn die Zieladresse über HTTPS korrekt geladen wird. Danach können Sie die HTTP-Adresse und einige Unterseiten in einem privaten Browserfenster aufrufen. So lässt sich leichter erkennen, ob die Weiterleitung auch ohne eine bestehende Sitzung funktioniert.

Gemischte Inhalte erkennen und beheben

Von gemischten Inhalten spricht man, wenn eine Seite über HTTPS geladen wird, aber einzelne Bestandteile noch über HTTP angefordert werden. Das können Bilder, Schriftdateien, Skripte, Videos oder eingebundene Inhalte sein. Je nach Art des Bestandteils blockiert der Browser die Einbindung oder zeigt einen Hinweis zur Sicherheit an.

Kontrollieren Sie nach der Umstellung mehrere unterschiedliche Seiten. Achten Sie besonders auf Seiten mit Bildern, Galerien, eingebetteten Medien oder besonderen Funktionen. Ein Schloss-Symbol allein ist kein verlässlicher Beleg dafür, dass alle Inhalte korrekt eingebunden sind; die Anzeige kann je nach Browser variieren.

Wenn ein Problem auftritt, öffnen Sie die Entwicklerwerkzeuge des Browsers und prüfen Sie die Meldungen in der Konsole. Dort werden häufig die Adressen der noch unsicher eingebundenen Ressourcen angezeigt. Suchen Sie anschließend an der passenden Stelle in WordPress, im Theme oder in einer Erweiterung nach der alten HTTP-Adresse und ändern Sie sie, sofern die Ressource auch über HTTPS verfügbar ist.

Lässt sich eine externe Ressource nicht verschlüsselt abrufen, sollte sie nicht einfach weiter eingebunden bleiben. Prüfen Sie, ob es eine sichere Alternative gibt oder ob der betreffende Inhalt entbehrlich ist. Ändern Sie dabei nicht wahllos Einstellungen an mehreren Stellen zugleich: Eine schrittweise Prüfung hilft, die Ursache einzugrenzen.

Abschlusskontrolle nach dem Wechsel

Nach der Umstellung sollten Sie die Website nicht nur auf der Startseite prüfen. Kontrollieren Sie wichtige Unterseiten, interne Navigation, Bilder, Formulare und den Administrationsbereich. Überprüfen Sie sowohl die direkte HTTPS-Adresse als auch die Weiterleitung von der HTTP-Variante.

Eine kompakte Prüfliste hilft dabei, typische Versäumnisse zu vermeiden:

• Das Zertifikat gilt für alle verwendeten Hostnamen und wird ohne Warnung angezeigt.
• WordPress verwendet HTTPS als Website-Adresse und als WordPress-Adresse.
• HTTP-Aufrufe führen dauerhaft zur passenden HTTPS-Seite.
• Unterseiten und Medieninhalte lassen sich ohne Fehler laden.
• In der Browserkonsole erscheinen keine Hinweise auf vermeidbare gemischte Inhalte.
• Caches werden bei Bedarf geleert, damit nicht weiterhin alte Einstellungen ausgeliefert werden.
• Die Erneuerung des Zertifikats ist geklärt.

Wenn einzelne Funktionen nach dem Wechsel ausfallen, prüfen Sie zuerst Weiterleitungen, gespeicherte HTTP-Verweise und zwischengespeicherte Inhalte. Bei Problemen mit der Zertifikatsausstellung oder der Serverkonfiguration kann der technische Support der Hosting-Umgebung weiterhelfen.

FAQ zur Umstellung auf HTTPS

Wie lange dauert es, eine Website auf HTTPS umzustellen?

Das hängt von der Hosting-Umgebung und davon ab, wie viele gespeicherte HTTP-Verweise angepasst werden müssen. Eine einfache Konfiguration kann zügig erledigt sein; die anschließende Kontrolle und Korrektur gemischter Inhalte kann zusätzlichen Aufwand erfordern. Planen Sie deshalb Zeit für die Prüfung ein, statt nur die Aktivierung des Zertifikats zu berücksichtigen.

Was passiert, wenn das Zertifikat abläuft?

Browser können dann vor der Verbindung warnen oder den Zugriff auf die Website erschweren. Besucher sollten solche Warnungen nicht einfach übergehen. Prüfen Sie die Erneuerung rechtzeitig und klären Sie bei Problemen, ob die automatische Verlängerung aktiv ist oder ein Eingriff nötig wird.

Kann eine Website vor der Veröffentlichung auf HTTPS eingerichtet werden?

Ja, die HTTPS-Konfiguration kann grundsätzlich vorbereitet werden, bevor eine Website öffentlich beworben wird. Voraussetzung ist, dass sich für die Zertifikatsausstellung nachweisen lässt, dass Sie die Domain verwalten, etwa weil sie bereits auf den Server zeigt oder über einen passenden DNS-Eintrag. Die konkreten Möglichkeiten hängen von der Hosting-Umgebung ab.

Fazit

Für eine saubere Umstellung braucht es ein gültiges Zertifikat, passende WordPress-Adressen und eine funktionierende Weiterleitung von HTTP auf HTTPS. Prüfen Sie danach Unterseiten und eingebundene Inhalte auf gemischte Verbindungen. Mit einer Sicherung und einer schrittweisen Kontrolle lassen sich die häufigsten Probleme leichter erkennen und beheben. Weitere Grundlagen zur technischen Umgebung finden Sie in der Rubrik Webhosting.