Besucher durchlaufen mehrere Weiterleitungen vor der Seite

1. Legen Sie die eine endgültige Adresse fest und stellen Sie sicher, dass HTTPS auf jedem Namen funktioniert. Die Seite wird unter https://example.com ausgeliefert, also sollte jede andere Adresse dorthin zeigen. Öffnen Sie vor jeder Weiterleitung https:// auf dem anderen Namen (www.example.com) im Browser: Es darf keine Zertifikatswarnung erscheinen. Zertifikate von Let's Encrypt und Cloudflare decken beide Namen ab, wenn beide eingetragen sind; fehlt einer, nehmen Sie ihn zuerst ins Zertifikat auf, sonst beginnt jede Weiterleitung von diesem Namen mit einer Warnung.

2. Richten Sie von jeder anderen Stammadresse eine einzige dauerhafte Weiterleitung direkt auf die endgültige ein. Verwenden Sie die Regel für die Stelle, an der Ihre Website antwortet (Ihr Hoster kann es Ihnen sagen): eine Regel, die Schema und www im selben Schritt behandelt, nicht zwei Regeln nacheinander. Verwenden Sie einen 301, nie einen 302 oder 307, und behalten Sie Pfad und Query-String bei.

Apache oder LiteSpeed (auch Plesk- und cPanel-Hosts mit Apache): in der Datei .htaccess im Hauptordner der Website, oberhalb der Zeile „# BEGIN WordPress“

RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} ^www\.example\.com$ [NC]
RewriteRule ^ https://example.com%{REQUEST_URI} [R=301,L]

nginx: die Server-Blöcke der Website

server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;
    return 301 https://example.com$request_uri;
}
server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name www.example.com;
    # the certificate must cover www.example.com
    return 301 https://example.com$request_uri;
}

Cloudflare, falls die Website dahinter liegt: Rules → Redirect Rules → Create rule

When incoming requests match (custom filter expression):
    http.host eq "www.example.com"

Then: Dynamic redirect, status code 301, preserve query string:
    concat("https://example.com", http.request.uri.path)

• Plesk: Websites & Domains → Hosting Settings: Stellen Sie „Preferred domain“ auf die gewählte Form (https://example.com) und setzen Sie den Haken bei „Permanent SEO-safe 301 redirect from HTTP to HTTPS“. Plesk schickt dann jede andere Stammadresse in einem Schritt zur endgültigen.
• cPanel: Domains → Redirects: eine dauerhafte (301) Wildcard-Weiterleitung vom anderen Namen zur endgültigen Adresse, „Redirect with or without www“ – oder die .htaccess-Regel oben.
• Beendet ein CDN oder Load Balancer HTTPS vor dem Server, sieht der Server nur http://, und die .htaccess-Regel oben läuft in eine Schleife. Prüfen Sie dann den Header „X-Forwarded-Proto“ statt %{HTTPS}, oder setzen Sie die Weiterleitung wie bei Cloudflare im CDN.
• Entfernen Sie danach jede andere Weiterleitungsregel für diese Adressen (ein älteres „HTTPS erzwingen“-Plugin, eine zweite Weiterleitung im Hosting-Panel): Zwei Regeln sind es, die zwei Sprünge erzeugen.

3. Sagen Sie Browsern, dass sie von Anfang an https:// verwenden sollen. Sobald https:// auf beiden Namen funktioniert, senden Sie auf beiden den Header Strict-Transport-Security: max-age=31536000; includeSubDomains. Ein Browser, der die Website einmal besucht hat, versucht dann nie wieder http://, sodass der http://-Sprung für wiederkehrende Besucher verschwindet. Fügen Sie „preload“ hinzu und melden Sie die Domain bei hstspreload.org nur an, wenn jede Subdomain über HTTPS funktioniert.

4. Prüfen. Fragen Sie jede Stammadresse nach ihrer ersten Antwort: Jede außer der endgültigen Adresse muss mit 301 und der endgültigen Adresse in „location“ antworten, die endgültige Adresse mit 200:

Im Terminal

curl -sI http://www.example.com/ | grep -i '^HTTP\|^location'
curl -sI https://www.example.com/ | grep -i '^HTTP\|^location'
curl -sI http://example.com/ | grep -i '^HTTP\|^location'
curl -sI https://example.com/ | grep -i '^HTTP\|^location'

Führen Sie dann diese Prüfung erneut aus: Sie folgt allen vier Adressen und listet jeden Sprung auf.