Посетители проходят через несколько перенаправлений до страницы

1. Определите единственный конечный адрес и убедитесь, что HTTPS работает на каждом имени. Страница отдаётся по адресу https://example.com, так что именно на него должны указывать все остальные. Прежде чем добавлять перенаправления, откройте https:// на другом имени (www.example.com) в браузере: предупреждения о сертификате быть не должно. Сертификаты Let's Encrypt и Cloudflare покрывают оба имени, когда оба указаны; если одного не хватает, сначала добавьте его в сертификат, иначе каждое перенаправление с этого имени будет начинаться с предупреждения.

2. Настройте одно постоянное перенаправление с каждого из остальных корневых адресов прямо на конечный. Используйте правило для того места, где отвечает ваш сайт (хостинг подскажет): одно правило, которое обрабатывает схему и www за один шаг, а не два правила одно за другим. Используйте 301, никогда 302 или 307, и сохраняйте путь и строку запроса.

Apache или LiteSpeed (также хостинги Plesk и cPanel с Apache): в файле .htaccess в главной папке сайта, над строкой «# BEGIN WordPress»

RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} ^www\.example\.com$ [NC]
RewriteRule ^ https://example.com%{REQUEST_URI} [R=301,L]

nginx: блоки server сайта

server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;
    return 301 https://example.com$request_uri;
}
server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name www.example.com;
    # the certificate must cover www.example.com
    return 301 https://example.com$request_uri;
}

Cloudflare, если сайт находится за ним: Rules → Redirect Rules → Create rule

When incoming requests match (custom filter expression):
    http.host eq "www.example.com"

Then: Dynamic redirect, status code 301, preserve query string:
    concat("https://example.com", http.request.uri.path)

• Plesk: Websites & Domains → Hosting Settings: установите «Preferred domain» в выбранную форму (https://example.com) и отметьте «Permanent SEO-safe 301 redirect from HTTP to HTTPS». Тогда Plesk отправляет каждый остальной корневой адрес на конечный за один шаг.
• cPanel: Domains → Redirects: постоянное (301) перенаправление с подстановочным знаком с другого имени на конечный адрес, «Redirect with or without www», — или правило .htaccess выше.
• Если CDN или балансировщик нагрузки завершает HTTPS перед сервером, сервер видит незашифрованный http://, и правило .htaccess выше зацикливается. Проверяйте заголовок «X-Forwarded-Proto» вместо %{HTTPS} или задайте перенаправление на стороне CDN, как с Cloudflare.
• После этого удалите все остальные правила перенаправления для этих адресов (старый плагин «принудительный HTTPS», второе перенаправление в панели управления): именно два правила дают два перехода.

3. Скажите браузерам использовать https:// с самого начала. Когда https:// работает на обоих именах, отправляйте заголовок Strict-Transport-Security: max-age=31536000; includeSubDomains на обоих. Браузер, однажды посетивший сайт, больше никогда не пробует http://, так что для вернувшихся посетителей переход через http:// исчезает. Добавляйте «preload» и отправляйте домен на hstspreload.org только когда каждый поддомен работает по HTTPS.

4. Проверьте. Запросите у каждого корневого адреса его первый ответ: все, кроме конечного адреса, должны отвечать 301 с конечным адресом в «location», а конечный адрес должен отвечать 200:

В терминале

curl -sI http://www.example.com/ | grep -i '^HTTP\|^location'
curl -sI https://www.example.com/ | grep -i '^HTTP\|^location'
curl -sI http://example.com/ | grep -i '^HTTP\|^location'
curl -sI https://example.com/ | grep -i '^HTTP\|^location'

Затем запустите эту проверку снова: она проходит все четыре адреса и перечисляет каждый переход.