Odwiedzający przechodzą przez kilka przekierowań przed stroną

1. Wybierz jeden adres docelowy i upewnij się, że HTTPS działa na każdej nazwie. Strona jest serwowana pod https://example.com, więc to adres, na który powinny wskazywać wszystkie pozostałe. Zanim dodasz jakiekolwiek przekierowanie, otwórz https:// na drugiej nazwie (www.example.com) w przeglądarce: nie może pokazać ostrzeżenia o certyfikacie. Certyfikaty Let's Encrypt i Cloudflare obejmują obie nazwy, gdy obie są wpisane; jeśli jednej brakuje, najpierw dodaj ją do certyfikatu, inaczej każde przekierowanie z tej nazwy zacznie się od ostrzeżenia.

2. Ustaw jedno stałe przekierowanie z każdego pozostałego adresu głównego prosto na adres docelowy. Użyj reguły dla miejsca, w którym odpowiada Twoja witryna (hosting może Ci to powiedzieć): jednej reguły, która obsługuje schemat i www w tym samym kroku, a nie dwóch reguł jedna po drugiej. Użyj 301, nigdy 302 ani 307, i zachowaj ścieżkę oraz parametry zapytania.

Apache lub LiteSpeed (także hostingi Plesk i cPanel z Apache): w pliku .htaccess w głównym folderze witryny, nad linią „# BEGIN WordPress”

RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} ^www\.example\.com$ [NC]
RewriteRule ^ https://example.com%{REQUEST_URI} [R=301,L]

nginx: bloki server witryny

server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;
    return 301 https://example.com$request_uri;
}
server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name www.example.com;
    # the certificate must cover www.example.com
    return 301 https://example.com$request_uri;
}

Cloudflare, jeśli witryna jest za nim: Rules → Redirect Rules → Create rule

When incoming requests match (custom filter expression):
    http.host eq "www.example.com"

Then: Dynamic redirect, status code 301, preserve query string:
    concat("https://example.com", http.request.uri.path)

• Plesk: Websites & Domains → Hosting Settings: ustaw „Preferred domain” na wybraną formę (https://example.com) i zaznacz „Permanent SEO-safe 301 redirect from HTTP to HTTPS”. Plesk wysyła wtedy każdy pozostały adres główny na docelowy w jednym kroku.
• cPanel: Domains → Redirects: stałe (301) przekierowanie z symbolem wieloznacznym z drugiej nazwy na adres docelowy, „Redirect with or without www” — albo reguła .htaccess powyżej.
• Jeśli CDN lub równoważnik obciążenia kończy HTTPS przed serwerem, serwer widzi nieszyfrowane http:// i reguła .htaccess powyżej się zapętla. Sprawdzaj nagłówek „X-Forwarded-Proto” zamiast %{HTTPS} albo ustaw przekierowanie w CDN, jak w Cloudflare.
• Następnie usuń każdą inną regułę przekierowania dla tych adresów (starszą wtyczkę „wymuś HTTPS”, drugie przekierowanie w panelu): to dwie reguły dają dwa skoki.

3. Każ przeglądarkom używać https:// od początku. Gdy https:// działa na obu nazwach, wysyłaj nagłówek Strict-Transport-Security: max-age=31536000; includeSubDomains na obu. Przeglądarka, która raz odwiedziła witrynę, nigdy więcej nie próbuje http://, więc skok przez http:// znika dla powracających odwiedzających. Dodaj „preload” i zgłoś domenę na hstspreload.org dopiero wtedy, gdy każda subdomena działa przez HTTPS.

4. Sprawdź. Zapytaj każdy adres główny o jego pierwszą odpowiedź: każdy oprócz adresu docelowego musi odpowiedzieć 301 z adresem docelowym w „location”, a adres docelowy musi odpowiedzieć 200:

W terminalu

curl -sI http://www.example.com/ | grep -i '^HTTP\|^location'
curl -sI https://www.example.com/ | grep -i '^HTTP\|^location'
curl -sI http://example.com/ | grep -i '^HTTP\|^location'
curl -sI https://example.com/ | grep -i '^HTTP\|^location'

Następnie uruchom to sprawdzenie ponownie: podąża za wszystkimi czterema adresami i wypisuje każdy skok.