https e un buon reindirizzamento

Modulo 4: Velocità, mobile e https · Tempo di lettura: 11 minuti

Obiettivo della lezione: Al termine di questa lezione saprà spiegare perché https conta per i motori di ricerca e per i visitatori, indicare la differenza tra un reindirizzamento permanente e uno temporaneo e verificare che tutte le varianti del Suo indirizzo arrivino in un solo passaggio alla stessa pagina https.

Concetti chiave: https, certificato, reindirizzamento (redirect), 301 e 308 (permanente), 302 e 307 (temporaneo), catena di reindirizzamenti, indirizzo preferito, con o senza www, HSTS, contenuti misti

Quattro indirizzi per una sola homepage

Quando digita il nome di un sito web nella barra degli indirizzi, il Suo browser può arrivare in quattro posti diversi:

Per Lei si tratta di un unico sito. Per un motore di ricerca sono quattro indirizzi diversi. Se tutti e quattro mostrano la stessa pagina, Google deve scegliere da solo quale sia l'indirizzo "vero". Google lo chiama indirizzo canonico (la lezione 3.5 approfondisce l'argomento). Google consiglia di scegliere Lei stesso un indirizzo come indirizzo preferito e di reindirizzare lì le altre varianti. Così non c'è alcun dubbio e i link verso ciascuna variante contano per la stessa pagina.

Bloemenatelier Lotte sceglie https://www.example.com/. Le altre tre varianti reindirizzano lì. Che scelga la versione con o senza www non fa differenza per i motori di ricerca. L'importante è fare una sola scelta e rispettarla ovunque: nel menu, nella sitemap, nel canonical e nel profilo dell'attività.

Perché https

https significa che la connessione tra browser e server è cifrata con un certificato. Nessuno lungo il percorso può leggere i dati o modificare qualcosa nella pagina, per esempio su una rete wifi pubblica.

Per i motori di ricerca https conta in due modi:

1. Come segnale. Nel 2014 Google ha annunciato che https è un segnale di ranking, ma all'epoca lo ha definito "un segnale molto leggero", che pesa meno di un buon contenuto. Nella documentazione sull'esperienza della pagina https figura tra le domande da porsi ("le Sue pagine vengono fornite in modo sicuro?"). Quindi non ne esageri l'importanza: https da solo non La porta in cima ai risultati.
2. Per i visitatori. I browser mostrano "Non sicuro" accanto a una pagina in http, soprattutto se contiene un modulo. Un visitatore che lo vede abbandona più facilmente. Lo noterà nelle visite, non in una regola di posizionamento.

Oggi un certificato valido si ottiene gratuitamente tramite Let's Encrypt. Presso la maggior parte dei provider di hosting, anche presso WebOké, viene richiesto e rinnovato automaticamente. Si assicuri che il certificato copra entrambi i nomi: senza e con www. Se copre solo example.com, https://www.example.com/ genera un errore di certificato, ancora prima che possa avvenire il reindirizzamento.

Reindirizzamento permanente o temporaneo

Un reindirizzamento (redirect) è una risposta del server: "questa pagina si trova altrove". Avviene con un codice di stato di tre cifre che inizia con 3, più un'intestazione Location con il nuovo indirizzo.

Secondo Google Search Central, l'indicizzazione usa un reindirizzamento permanente come segnale che la destinazione deve diventare canonica. Con un reindirizzamento temporaneo questo non avviene: il vecchio indirizzo di solito resta nei risultati. Il passaggio da http a https e la scelta con o senza www sono situazioni definitive. Usi quindi 301 o 308.

Può vedere un reindirizzamento con i Suoi occhi. In un terminale:

$ curl -sI http://example.com/
HTTP/1.1 301 Moved Permanently
Location: https://www.example.com/

Oppure nel browser: apra gli strumenti per sviluppatori (F12), scheda Rete, attivi l'opzione che conserva il log quando si carica una nuova pagina e carichi l'indirizzo http. Vedrà ogni passaggio con il relativo codice.

Catene di reindirizzamenti

Una catena di reindirizzamenti è un reindirizzamento verso un indirizzo che a sua volta reindirizza. Un esempio frequente:

http://example.com/        301 → https://example.com/
https://example.com/       301 → https://www.example.com/
https://www.example.com/   200

Funziona, ma a ogni prima visita costa un andata e ritorno in più verso il server. web.dev indica i reindirizzamenti tra le cause di una prima risposta lenta del server (lezione 4.3): ogni passaggio si somma, e le catene ancora di più. È meglio che ogni variante arrivi in un solo passaggio all'indirizzo preferito:

http://example.com/          301 → https://www.example.com/
http://www.example.com/      301 → https://www.example.com/
https://example.com/         301 → https://www.example.com/
https://www.example.com/     200

Con il vecchio indirizzo http con l'altro nome non sempre è possibile in un solo passaggio, perché con alcune impostazioni il server reindirizza prima a https dello stesso nome e solo dopo all'altro nome. In quel caso due passaggi sono accettabili; tre o più sono un motivo per controllare le impostazioni. Un loop (A reindirizza a B, B reindirizza di nuovo ad A) è sempre un errore: la pagina non si apre affatto.

HSTS: il browser se lo ricorda

HSTS (HTTP Strict Transport Security, RFC 6797) è un'intestazione che il server invia tramite https:

Strict-Transport-Security: max-age=31536000

Un browser che l'ha vista una volta, da quel momento per questo sito va direttamente a https, senza provare prima http. Si risparmia così il primo reindirizzamento e ci si protegge da chi cerca di intercettare la connessione. web.dev cita HSTS anche come modo per evitare il reindirizzamento da http a https. Per i motori di ricerca HSTS non è un segnale; per i Suoi visitatori è un miglioramento. Lo attivi solo quando https funziona correttamente su tutti i nomi, perché il browser lo ricorda per tutto il tempo indicato da max-age. Un altro corso di WebOké, dedicato alla sicurezza online, approfondisce l'argomento.

Contenuti misti

Una pagina https che carica un'immagine, uno script o un foglio di stile tramite http:// contiene contenuti misti (mixed content). I browser bloccano script e fogli di stile non sicuri, oppure mostrano un avviso. Dopo il passaggio a https capita spesso con vecchie immagini nei testi o con un tema che usa indirizzi fissi. Cerchi nel codice sorgente src="http:// e href="http:// e li sostituisca con https o con un indirizzo relativo.

In pratica: impostare il reindirizzamento a https

Con un pacchetto di hosting di WebOké, il reindirizzamento a https si attiva in DirectAdmin nelle impostazioni del dominio (interruttore "Forza SSL con reindirizzamento https") e, nella stessa pagina, in "Forza reindirizzamento" sceglie se lavorare con o senza www. Usi un solo punto per il reindirizzamento: due regole che fanno ciascuna qualcosa di diverso (per esempio nel pannello e in un plugin) provocano facilmente un loop. Un sito creato con l'AI Builder riceve al momento della pubblicazione un certificato e un proprio indirizzo. In WordPress, in Impostazioni, Generale, inserisca l'Indirizzo WordPress e l'Indirizzo sito con https:// e il nome scelto; il reindirizzamento vero e proprio si gestisce sul server. Con altri provider e altri strumenti per creare siti funziona in modo simile, cambiano solo i nomi dei pulsanti.

Se preferisce farlo tramite .htaccess (Apache o LiteSpeed), queste righe reindirizzano tutte le varianti in un solo passaggio a https://www.example.com:

RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} !^www\.example\.com$ [NC]
RewriteRule ^ https://www.example.com%{REQUEST_URI} [R=301,L]

Controlli poi sempre tutte e quattro le varianti, anche con un percorso dopo il dominio (http://example.com/contact): il percorso deve essere mantenuto, non deve saltare alla homepage.

Riepilogo

• Scelga un solo indirizzo preferito (https, con o senza www) e reindirizzi lì le altre varianti.
• Per i reindirizzamenti definitivi usi 301 o 308; 302 e 307 sono temporanei e non danno a Google alcun segnale sull'indirizzo canonico.
• Faccia arrivare ogni variante all'indirizzo preferito in un solo passaggio, al massimo due; le catene costano tempo e i loop rendono il sito inaccessibile.
• Secondo Google https è un segnale di ranking leggero; per i visitatori è soprattutto una questione di fiducia. Il certificato deve coprire entrambi i nomi.
• HSTS fa sì che il browser vada da solo a https; i contenuti misti vanno ripuliti dopo il passaggio.

Quiz

Esercizio

Esercizio A4.1: Tutto passa a https in un solo passaggio? Inserisca il nome del Suo dominio (senza www). Il programma prova tutte e quattro le varianti (http e https, con e senza www), segue ogni reindirizzamento passo dopo passo e controlla il certificato di entrambi i nomi. Per ogni variante vedrà la catena con i codici di stato, se arrivano tutte allo stesso indirizzo https e se è presente un'intestazione HSTS. Non ha un sito proprio? Usi rijksoverheid.nl.

Per approfondire

I passaggi descritti in questi articoli valgono per i pannelli di WebOké; con altri provider funziona in modo simile.

• Guida DirectAdmin 6.4: Reindirizzare sempre i visitatori a https
• Guida DirectAdmin 4.3: Impostazioni di un dominio: SSL, PHP, www e private_html
• Guida DirectAdmin 6.3: Certificato per www, sottodomini e wildcard
• Reindirizzare obbligatoriamente i visitatori su https
• Corso gratuito DNS 3.4: www, reindirizzamento e ciò che il DNS non fa
• Google Search Central, Redirects and Google Search: https://developers.google.com/search/docs/crawling-indexing/301-redirects
• Google Search Central Blog, HTTPS as a ranking signal (2014): https://developers.google.com/search/blog/2014/08/https-as-ranking-signal
• RFC 6797 (HSTS): https://www.rfc-editor.org/rfc/rfc6797