Protokół HTTP i HTTPS: czym się różnią i jak bezpiecznie przejść na HTTPS?

HTTP i HTTPS to dwa sposoby przesyłania tej samej strony między serwerem a przeglądarką. Różni je szyfrowanie: HTTPS chroni dane klienta po drodze, HTTP przesyła je otwartym tekstem. Poniżej znajdziesz, co z tej różnicy wynika dla klientów i dla Google oraz jak przejść na HTTPS, nie tracąc ruchu z wyszukiwarki.

Czym jest protokół HTTP?

HTTP (Hypertext Transfer Protocol) to zestaw zasad, według których przeglądarka i serwer wymieniają dane w internecie. Przeglądarka wysyła żądanie, np. o stronę, zdjęcie albo plik PDF, a serwer odsyła odpowiedź z treścią i kodem stanu.

Kod stanu mówi, co stało się z żądaniem: 200 oznacza, że strona jest dostępna, 301 to trwałe przekierowanie, a 404 informuje, że strony nie ma. Kody generuje serwer, na którym działa strona. Czyta je także Googlebot, gdy pobiera Twoje podstrony.

HTTP nie pamięta poprzednich żądań. Każde zapytanie jest dla serwera nowe, dlatego koszyk w sklepie albo logowanie wymagają dodatkowego mechanizmu, najczęściej plików cookies.

Każde zapytanie jest dla serwera nowe, dlatego koszyk w sklepie albo logowanie wymagają dodatkowego mechanizmu, najczęściej plików cookies .

Najważniejsza słabość zwykłego HTTP: dane płyną otwartym tekstem. Osoba, która ma dostęp do sieci po drodze, np. w publicznym Wi-Fi, może je odczytać albo podmienić.

Czym HTTPS różni się od HTTP?

HTTPS to ten sam protokół HTTP przesyłany w zaszyfrowanym połączeniu. Litera S oznacza „secure”, czyli bezpieczny. Szyfrowanie zapewnia protokół TLS, a serwer potwierdza swoją tożsamość certyfikatem. Czym jest certyfikat i jak go wybrać, opisujemy we wpisie Certyfikat SSL: co to jest i czy wpływa na SEO.

Połączenie HTTPS daje trzy rzeczy, których HTTP nie ma:

• poufność: dane z formularzy, hasła i dane płatności są nieczytelne dla osób trzecich;
• integralność: nikt po drodze nie zmieni treści strony ani nie dołoży do niej obcego kodu;
• uwierzytelnienie: przeglądarka sprawdza, czy łączy się z właściwym serwerem.

Cecha	HTTP	HTTPS
Początek adresu	http://	https://
Przesyłanie danych	otwartym tekstem	w połączeniu szyfrowanym przez TLS
Certyfikat na serwerze	niepotrzebny	wymagany i ważny
Chrome przy adresie	informacja, że połączenie nie jest prywatne	brak ostrzeżenia
Google, gdy istnieją obie wersje	wersja mniej preferowana	wersja, którą Google woli indeksować

Co widzi klient, gdy strona działa na HTTP?

Klient widzi ostrzeżenie, zanim zobaczy ofertę. Chrome oznacza taką stronę ikoną informacji albo napisem o niezabezpieczonym połączeniu, a po kliknięciu wyjaśnia, że strona nie używa prywatnego połączenia.

Google zapowiadał to od lat. W lipcu 2018 roku blog Google Search Central ogłosił, że strony HTTP są w Chrome oznaczane jako niezabezpieczone.

Użytkownik może też włączyć w Chrome opcję „Zawsze używaj bezpiecznych połączeń”. Wtedy przed wejściem na stronę bez HTTPS przeglądarka wyświetla ostrzeżenie i pyta, czy kontynuować.

Dla firmy oznacza to utracone zapytania. Klient, który ma wpisać w formularz telefon, adres albo dane karty, może zrezygnować przy pierwszym ostrzeżeniu. W statystykach widać to tylko jako wyjście ze strony, bez przyczyny.

Czy HTTPS wpływa na pozycje w Google?

Bezpośrednio niewiele, pośrednio tak. W sierpniu 2014 roku Google ogłosił na blogu Search Central, że HTTPS jest sygnałem rankingowym. Dziś dokumentacja Google o doświadczeniu na stronie wymienia bezpieczne połączenie wśród pytań kontrolnych. Zaznacza przy tym, że poza Core Web Vitals pozostałe aspekty doświadczenia na stronie nie podnoszą bezpośrednio pozycji.

W praktyce HTTPS jest warunkiem wejścia, a nie sposobem na wyprzedzenie konkurencji. Nie wywinduje słabej treści, a jego brak osłabia zaufanie klienta, który już do Ciebie trafił.

Ważniejsze dla SEO jest to, czy strona ma jedną wersję adresów. Wersje HTTP i HTTPS tej samej strony Google traktuje jako duplikaty, spośród których wybiera jeden adres kanoniczny. Gdy obie wersje istnieją, Google woli indeksować wersję HTTPS. Jeśli jednak linki wewnętrzne, mapa witryny albo tag canonical wskazują HTTP, sygnały się rozjeżdżają i w wynikach może zostać stary adres.

W modelu Search Ecosystem™ protokół należy do fundamentów technicznych obszaru Google Search. Na nim opierają się treść, linkowanie i każde kolejne działanie SEO.

Jak przejść z HTTP na HTTPS bez utraty ruchu?

Google traktuje zmianę protokołu jak przeniesienie witryny ze zmianą adresów URL. Każdy adres dostaje nowy odpowiednik, więc kroki są podobne jak przy zmianie domeny.

1. Zainstaluj i skonfiguruj certyfikat TLS na serwerze. Sprawdź, czy obejmuje wszystkie używane warianty adresu, np. wersję z www i bez www.
2. Przygotuj listę wszystkich adresów HTTP i ich odpowiedników HTTPS. Weź ją z mapy witryny, z crawlera i z Search Console.
3. Ustaw przekierowania stałe 301 albo 308 z każdego adresu HTTP na ten sam adres w HTTPS. Bez łańcuchów: stary adres prowadzi wprost do docelowego. Jak działa takie przekierowanie, opisujemy we wpisie o przekierowaniu 301.
4. Zmień na adresy HTTPS linki wewnętrzne, tagi canonical, hreflang i dane strukturalne.
5. Podmień zasoby ładowane po HTTP: obrazki, skrypty, czcionki, osadzone filmy. Strona HTTPS, która pobiera pliki po HTTP, ma treści mieszane, a przeglądarka może je zablokować.
6. Dodaj w Search Console usługę domeny albo usługę z prefiksem HTTPS. Prześlij nową mapę witryny z adresami HTTPS, a starą usuń.
7. Sprawdź robots.txt w wersji HTTPS. Nie może blokować adresów, które chcesz mieć w Google.
8. Nie wyłączaj przekierowań. Google zaleca utrzymywać je tak długo, jak to możliwe, zwykle co najmniej rok.

Narzędzie do zmiany adresu w Search Console nie jest tu potrzebne. Google przewiduje je przy przenosinach między domenami albo subdomenami, nie przy zmianie protokołu.

W projekcie dla crossmobile.pl przekierowania 301, mapę witryny i plik robots.txt porządkowaliśmy w planie działań odnawianym co kwartał.

Po zmianie pozycje mogą się przez pewien czas wahać. Google pisze, że to normalne. Przy średniej wielkości witrynie pokazanie nowych adresów w wynikach może zająć kilka tygodni albo dłużej. Gdy razem z protokołem zmieniasz też domenę albo strukturę adresów, skorzystaj z szerszej listy we wpisie Migracja strony internetowej: jak zrobić to dobrze.

Jakie błędy po przejściu na HTTPS zdarzają się najczęściej?

Najczęściej strona działa już na HTTPS, ale część sygnałów nadal wskazuje stary adres. Raport HTTPS w Search Console nazywa takie przypadki wprost:

• adres HTTP ma tag canonical wskazujący na siebie zamiast na wersję HTTPS;
• mapa witryny nadal podaje adresy HTTP;
• adres HTTPS przekierowuje z powrotem na HTTP;
• robots.txt blokuje adresy HTTPS;
• certyfikat jest nieważny, co zwykle dotyczy całej witryny.

Do tego dochodzą błędy spoza raportu. Pierwszy to łańcuch przekierowań, np. HTTP bez www, potem HTTP z www, a dopiero potem HTTPS. Drugi to przekierowanie wielu starych adresów na stronę główną, przed którym Google wprost przestrzega: klient i robot trafiają wtedy na stronę, której nie szukali. Trzeci to zapomniane linki HTTP w menu, w stopce albo w treści wpisów.

Każdy z tych błędów wydłuża czas, w którym Google porządkuje adresy. Ruch z wyszukiwarki może przez to spaść mocniej i na dłużej, niż wymaga sama zmiana protokołu.

Jak sprawdzić, czy strona działa poprawnie na HTTPS?

Wystarczy kilka testów w przeglądarce i w Search Console.

1. Wpisz adres strony z http:// na początku. Przeglądarka powinna przejść na https:// jednym przekierowaniem.
2. Kliknij ikonę przy adresie i sprawdź, czy Chrome uznaje połączenie za bezpieczne.
3. Otwórz kod strony (Ctrl+U) i wyszukaj „http://”. Linki do Twojej domeny, obrazki i skrypty powinny mieć adresy HTTPS.
4. Otwórz w Search Console raport HTTPS. Pokazuje, ile zindeksowanych adresów jest na HTTP i dlaczego wersja HTTPS nie trafiła do indeksu. Raport działa w usłudze domeny i w usłudze z prefiksem HTTPS.
5. W raporcie map witryny porównaj obie mapy: zindeksowanych adresów ze starej powinno ubywać, a z nowej przybywać.
6. W raporcie skuteczności sprawdź, czy wyświetlenia i kliknięcia przechodzą na adresy HTTPS.

Najważniejsze wnioski.

HTTP i HTTPS przesyłają te same strony, ale tylko HTTPS chroni dane klienta po drodze. Dziś to standard, którego brak odwiedzający widzi, zanim przeczyta ofertę.

Sam HTTPS nie podniesie pozycji. Liczy się porządek: jedna wersja adresów, przekierowania prosto do celu i wszystkie sygnały strony wskazujące HTTPS.

Co dalej: wpisz adres swojej strony z http:// na początku i sprawdź, dokąd trafisz. Potem otwórz raport HTTPS w Search Console. Jeśli pokazuje adresy HTTP, zacznij od tagów canonical i mapy witryny.

Najczęstsze pytania.

Czy Google indeksuje strony, które działają tylko na HTTP?

Tak, Google pobiera i indeksuje strony HTTP. Gdy ta sama strona istnieje także w wersji HTTPS, Google woli indeksować HTTPS.

Czy po przejściu na HTTPS trzeba dodać nową usługę w Search Console?

Przy usłudze domeny nie: obejmuje ona wszystkie protokoły i subdomeny. Usługa z prefiksem adresu obejmuje tylko podany protokół, więc dla HTTPS potrzebujesz osobnej.

Czy HTTP/2 poprawia pozycje w Google?

Nie. Roboty Google pobierają strony po HTTP/1.1 i HTTP/2, ale Google pisze wprost, że HTTP/2 nie daje stronie przewagi w rankingu. Zyskiem jest mniejsze obciążenie serwera przy pobieraniu.