HTTPS / SSL

HTTPS (Hypertext Transfer Protocol Secure) ist die verschlüsselte Variante des HTTP-Protokolls und sorgt dafür, dass die Datenübertragung zwischen dem Browser des Besuchers und dem Webserver abhörsicher erfolgt. Die Verschlüsselung basiert auf einem SSL- bzw. TLS-Zertifikat (Transport Layer Security), das auf dem Server installiert ist. Im Sprachgebrauch wird häufig noch von „SSL“ gesprochen, obwohl die aktuelle Technologie TLS heißt.

Technischer Hintergrund

Bei einer HTTPS-Verbindung findet zunächst ein sogenannter TLS-Handshake statt: Der Browser und der Server einigen sich auf ein Verschlüsselungsverfahren und tauschen kryptografische Schlüssel aus. Anschließend wird die gesamte Kommunikation verschlüsselt – einschließlich der übertragenen Formulardaten, Login-Informationen, Cookies und der aufgerufenen URLs. Ein gültiges SSL/TLS-Zertifikat bestätigt außerdem die Identität der Website und wird im Browser durch das Schloss-Symbol in der Adressleiste angezeigt.

Zertifikate werden von Zertifizierungsstellen (Certificate Authorities, CAs) ausgestellt. Kostenlose Zertifikate sind über Let’s Encrypt verfügbar und werden von den meisten Hosting-Anbietern automatisch eingerichtet und erneuert. Kostenpflichtige Zertifikate bieten erweiterte Validierungsoptionen (Organisation Validation, Extended Validation), die vor allem für Unternehmen und Online-Shops relevant sind.

In WordPress muss nach der Umstellung auf HTTPS sichergestellt werden, dass die Website-URL in den Einstellungen auf https:// steht. Interne Links, eingebettete Medien und hardcodierte URLs müssen ebenfalls angepasst werden, um sogenannte Mixed-Content-Warnungen zu vermeiden. Dabei hilft ein search-replace über WP-CLI oder ein entsprechendes Plugin. Zusätzlich sollte eine serverseitige Weiterleitung von HTTP auf HTTPS eingerichtet werden.

Bedeutung für die WordPress-Wartung

HTTPS ist heute kein optionales Feature mehr, sondern ein Pflichtstandard. Suchmaschinen wie Google bevorzugen HTTPS-Websites im Ranking. Browser kennzeichnen unverschlüsselte Seiten als „nicht sicher“, was das Vertrauen der Besucher beeinträchtigt. Für Websites, die personenbezogene Daten verarbeiten – und das trifft auf nahezu jede Website mit Kontaktformular zu – ist HTTPS auch aus DSGVO-Sicht erforderlich.

Im Wartungskontext muss die Gültigkeit des SSL/TLS-Zertifikats überwacht werden. Abgelaufene Zertifikate führen zu prominenten Browser-Warnungen, die Besucher effektiv von der Website fernhalten. Die meisten Let’s-Encrypt-Zertifikate werden automatisch erneuert, aber ein Monitoring stellt sicher, dass dieser Prozess zuverlässig funktioniert.

Häufige Probleme

• Mixed Content: Teile der Seite (Bilder, Skripte, Stylesheets) werden noch über HTTP geladen, obwohl die Seite selbst per HTTPS ausgeliefert wird.
• Das SSL-Zertifikat läuft ab und wird nicht rechtzeitig erneuert, was zu Browser-Warnungen und Vertrauensverlust führt.
• Die Weiterleitung von HTTP auf HTTPS ist nicht eingerichtet, sodass die Seite unter beiden Protokollen erreichbar ist.
• Weiterleitungsschleifen entstehen durch fehlerhafte Konfiguration in der wp-config.php, .htaccess oder der Server-Konfiguration.
• Nach der HTTPS-Umstellung sind interne Links und Canonical URLs noch auf HTTP gesetzt.

Best Practices

• Ein SSL/TLS-Zertifikat über den Hosting-Anbieter einrichten und die automatische Erneuerung aktivieren.
• Nach der Umstellung alle internen URLs von HTTP auf HTTPS ändern – per WP-CLI (wp search-replace) oder Plugin.
• Eine permanente 301-Weiterleitung von HTTP auf HTTPS serverseitig einrichten.
• Den HSTS-Header (HTTP Strict Transport Security) setzen, um den Browser anzuweisen, die Website immer über HTTPS aufzurufen.
• Regelmäßig auf Mixed-Content-Warnungen prüfen, besonders nach dem Einbinden neuer Inhalte oder externer Ressourcen.
• Die Zertifikatsgültigkeit überwachen und Benachrichtigungen bei bevorstehender Ablauf einrichten.