I visitatori passano per più reindirizzamenti prima della pagina

1. Decidete l'unico indirizzo finale e assicuratevi che HTTPS funzioni su ogni nome. La pagina è servita a https://example.com, quindi è l'indirizzo a cui devono puntare tutti gli altri. Prima di aggiungere un reindirizzamento, aprite https:// sull'altro nome (www.example.com) in un browser: non deve mostrare alcun avviso sul certificato. I certificati di Let's Encrypt e di Cloudflare coprono entrambi i nomi quando entrambi sono elencati; se ne manca uno, aggiungetelo prima al certificato, altrimenti ogni reindirizzamento da quel nome inizierà con un avviso.

2. Impostate un solo reindirizzamento permanente da ogni altro indirizzo radice direttamente a quello finale. Usate la regola per il punto in cui il vostro sito risponde (il vostro hosting può dirvelo): una sola regola che gestisce schema e www nello stesso passaggio, non due regole una dopo l'altra. Usate un 301, mai un 302 o 307, e mantenete il percorso e la query string.

Apache o LiteSpeed (anche hosting Plesk e cPanel con Apache): nel file .htaccess nella cartella principale del sito, sopra la riga «# BEGIN WordPress»

RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} ^www\.example\.com$ [NC]
RewriteRule ^ https://example.com%{REQUEST_URI} [R=301,L]

nginx: i blocchi server del sito

server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;
    return 301 https://example.com$request_uri;
}
server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name www.example.com;
    # the certificate must cover www.example.com
    return 301 https://example.com$request_uri;
}

Cloudflare, se il sito è dietro di esso: Rules → Redirect Rules → Create rule

When incoming requests match (custom filter expression):
    http.host eq "www.example.com"

Then: Dynamic redirect, status code 301, preserve query string:
    concat("https://example.com", http.request.uri.path)

• Plesk: Websites & Domains → Hosting Settings: impostate «Preferred domain» sulla forma scelta (https://example.com) e spuntate «Permanent SEO-safe 301 redirect from HTTP to HTTPS». Plesk manda allora ogni altro indirizzo radice a quello finale in un solo passaggio.
• cPanel: Domains → Redirects: un reindirizzamento permanente (301) con wildcard dall'altro nome all'indirizzo finale, «Redirect with or without www», oppure la regola .htaccess qui sopra.
• Se una CDN o un bilanciatore di carico termina l'HTTPS davanti al server, il server vede solo http:// e la regola .htaccess qui sopra va in loop. Verificate l'intestazione «X-Forwarded-Proto» invece di %{HTTPS}, oppure impostate il reindirizzamento sulla CDN come con Cloudflare.
• Rimuovete poi ogni altra regola di reindirizzamento per questi indirizzi (un vecchio plugin «forza HTTPS», un secondo reindirizzamento del pannello di controllo): sono due regole a produrre due salti.

3. Dite ai browser di usare https:// fin dall'inizio. Quando https:// funziona su entrambi i nomi, inviate l'intestazione Strict-Transport-Security: max-age=31536000; includeSubDomains su entrambi. Un browser che ha visitato il sito una volta non prova più http://, così il salto http:// sparisce per i visitatori che tornano. Aggiungete «preload» e inviate il dominio a hstspreload.org solo quando ogni sottodominio funziona in HTTPS.

4. Verifica. Chiedete a ogni indirizzo radice la sua prima risposta: tutti tranne l'indirizzo finale devono rispondere 301 con l'indirizzo finale in «location», e l'indirizzo finale deve rispondere 200:

In un terminale

curl -sI http://www.example.com/ | grep -i '^HTTP\|^location'
curl -sI https://www.example.com/ | grep -i '^HTTP\|^location'
curl -sI http://example.com/ | grep -i '^HTTP\|^location'
curl -sI https://example.com/ | grep -i '^HTTP\|^location'

Poi eseguite di nuovo questo controllo: segue tutti e quattro gli indirizzi ed elenca ogni salto.