HTTPS og SSL-certifikat

En migrering fra HTTP til HTTPS er teknisk set en site-flytning. Hver URL får en ny adresse, og hvert internt link, hvert backlink og hvert canonical-tag skal afspejle det. En halv migrering er værre end ingen — den efterlader duplicates som Google ikke kan vælge imellem.

# Apache: tving alle requests til HTTPS via .htaccess
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

# Nginx: samme via server block
server {
  listen 80;
  server_name www.example.dk example.dk;
  return 301 https://www.example.dk$request_uri;
}

Brug 301 (permanent) — ikke 302. En 302 fortæller Google at flytningen er midlertidig, og link-equity overføres ikke fuldt ud. Efter migrering: opdater alle interne links til at pege på HTTPS-versionen direkte. Et internt link via en 301 redirect tæller stadig, men hver redirect koster crawl-budget og latenstid.

Find mixed content med Chrome DevTools (Console-fanen) eller med Lighthouse. Det mest almindelige er hardcodede billed-URL'er i WordPress-indlæg fra før migreringen. En enkelt SQL-query kan rette tusindvis af dem:

UPDATE wp_posts
SET post_content = REPLACE(post_content, 'http://example.dk', 'https://example.dk')
WHERE post_content LIKE '%http://example.dk%';

HTTP Strict Transport Security (HSTS) er en header der fortæller browseren: "næste gang du besøger dette domæne, brug HTTPS direkte uden at spørge". Det fjerner den korte HTTP-til-HTTPS redirect i starten af hver session, og det forhindrer downgrade-angreb hvor en angriber forsøger at narre browseren tilbage til HTTP.

# Send denne header på alle responses
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Forsigtig: HSTS er sticky. Når en browser har modtaget headeren, nægter den at besøge HTTP-versionen i ét år. Hvis du derefter mister dit certifikat, er sitet utilgængeligt. Test først med en kort max-age (f.eks. 300 sekunder), bekræft at alt virker, og forhøj derefter til et år. Først derefter tilføjes preload, som kræver indsendelse til hstspreload.org.

HTTPS-versionen af et site er en separat ejendom i Search Console. Tilføj den nye HTTPS-property før migreringen, og hold begge åbne i mindst tre måneder. På den måde kan du sammenligne impressions og klik direkte og fange de URL'er der ikke blev redirected korrekt. Indsend også et opdateret sitemap der kun indeholder HTTPS-URL'er.

Forvent et lille midlertidigt fald i trafik de første 1 til 4 uger. Det er normalt og skyldes at Google skal genfinde og genindeksere alle URL'er. Hvis trafikken ikke er tilbage på niveau efter 6 uger, er der noget galt — typisk en 301-kæde, manglende canonical-opdatering eller blokerede ressourcer i robots.txt.