Warum zeigt meine Website "Nicht sicher" an? Ursachen und Lösungen | We.Inc
Finde heraus, warum ein Browser deine Website als Nicht sicher kennzeichnet: kein HTTPS, ein abgelaufenes oder unpassendes Zertifikat oder Mixed Content. Behebe jede Ursache und durchsuche eingefügtes HTML nach http://-Links.
Browser zeigen Nicht sicher an, wenn eine Seite nicht über eine private HTTPS-Verbindung ausgeliefert wird. Meist ist eines von drei Dingen schiefgelaufen: Die Website hat kein SSL-Zertifikat, das Zertifikat ist abgelaufen oder passt nicht zur Domain, oder eine HTTPS-Seite lädt einige Dateien noch über einfaches http://. Für jede Ursache findest du unten die passende Lösung.
Die üblichen Ursachen und wo du anfängst
Was du siehst
Wahrscheinliche Ursache
Erste Maßnahme
Nicht sicher auf jeder Seite, Adresse beginnt mit http://
Kein Zertifikat oder keine Weiterleitung auf HTTPS
SSL bei deinem Hoster aktivieren, dann http:// auf https:// weiterleiten
Ganzseitige Warnung zur Verbindung
Zertifikat abgelaufen oder für einen anderen Namen ausgestellt
Erneuern oder neu ausstellen, sodass es example.com und www.example.com abdeckt
Schloss fehlt nur auf einer Seite
Mixed Content: Eine Datei auf dieser Seite lädt über http://
Adresse dieser Datei auf https:// ändern (Scan unten)
Warnung nur auf einer Formularseite
Das Formular sendet an eine http://-Adresse
Die action des Formulars auf eine https://-Adresse richten
HTTPS ist die verschlüsselte Version des Übertragungsprotokolls im Web, und das SSL-Zertifikat (genauer TLS) ist die Datei, die belegt, dass die Verbindung zu deiner Domain gehört. Laut Chrome-Hilfe stimmt auf einer als Nicht sicher markierten Website etwas mit der Privatsphäre der Verbindung nicht, und jemand könnte die Informationen sehen, die Besucher senden oder empfangen. Arbeite die Ursachen der Reihe nach ab: zuerst das Zertifikat, dann die Weiterleitung, zuletzt Mixed Content.
Öffne deine Website mit vorangestelltem https://. Verweigert der Browser das, fehlt das Zertifikat, ist abgelaufen oder gilt für einen anderen Namen.
Funktioniert https://, lädt aber einfaches http:// weiterhin ohne Weiterleitung, richte bei deinem Hoster eine dauerhafte Weiterleitung ein.
Fehlt das Schloss auf einer Seite, die über HTTPS lädt, sieh dir den Quelltext dieser Seite an und füge ihn oben in den Scanner ein.
Ändere jede markierte Adresse auf https:// (oder entferne die Datei), veröffentliche und lade die Seite neu.
Die meisten Hoster und Website-Baukästen stellen kostenlose Zertifikate aus und erneuern sie automatisch. Ist deins abgelaufen, prüfe, ob die Domain noch auf diesen Hoster zeigt.
Decke sowohl die nackte Domain als auch die www-Version ab, denn Besucher tippen beides.
Alte Blogartikel binden oft Bilder von http://-Adressen ein. Durchsuche deine Inhalte nach "http://" und aktualisiere sie gesammelt.
Füge den Header Strict-Transport-Security erst hinzu, wenn jede Seite über HTTPS funktioniert, denn Browser weigern sich danach, auf http:// zurückzufallen.
Häufige Fragen
Ist es gefährlich, eine Website mit Nicht sicher zu besuchen?
Eine reine Informationsseite zu lesen ist wenig riskant, aber alles, was dort eingetippt wird (ein Passwort, eine Kartennummer oder eine Nachricht im Kontaktformular), kann unterwegs mitgelesen oder verändert werden. Deshalb warnen Browser, und deshalb gehen Besucher wieder.
Wie lange gilt ein SSL-Zertifikat?
Das hängt vom Aussteller ab. Let's Encrypt, eine kostenlose gemeinnützige Zertifizierungsstelle, gibt an, dass ihre Standardzertifikate 90 Tage gültig sind, weshalb die automatische Erneuerung wichtig ist. Kostenpflichtige Zertifikate haben eigene Laufzeiten.
Schadet Nicht sicher meinen Suchrankings?
Google hat keine Gewichtung veröffentlicht, die wir zitieren könnten, also raten wir auch keine. Die praktischen Kosten sind Besucher, die die Warnung sehen und gehen, bevor sie irgendetwas lesen.
Warum zeigt nur eine Seite die Warnung?
Diese Seite lädt fast immer etwas über http://: ein Bild, ein Skript, eine Schrift, ein eingebettetes Video oder ein Formularziel. Füge ihren Quelltext in den Scanner ein, um die Adresse zu finden.
Kann ich Mixed Content beheben, ohne jede Seite zu bearbeiten?
Teilweise. Die Content-Security-Policy-Direktive upgrade-insecure-requests weist Browser an, jede Ressource über HTTPS anzufordern. Das hilft nur, wenn der andere Server ebenfalls HTTPS anbietet, daher bleibt das Korrigieren der Adressen die saubere Lösung.
Ursache 1: kein Zertifikat oder keine Weiterleitung
Zeigt die Adressleiste auf jeder Seite http://, wird die Website ohne Verschlüsselung ausgeliefert. Aktiviere SSL im Dashboard deines Hosters oder Baukastens; die meisten stellen in wenigen Minuten ein kostenloses Zertifikat aus.
Sobald https:// lädt, leite alle http://-Anfragen mit einer dauerhaften (301) Weiterleitung dorthin um, damit alte Links und Lesezeichen auf der sicheren Version landen.
Ursache 2: abgelaufenes oder unpassendes Zertifikat
Ein Zertifikat hat ein Ablaufdatum und listet genau die Namen auf, die es abdeckt. Läuft es ab, oder besucht jemand www.example.com, während das Zertifikat nur example.com nennt, zeigen Browser statt eines kleinen Hinweises eine ganzseitige Fehlermeldung.
Klicke auf das Symbol neben der Adresse, um Daten und Namen des Zertifikats zu sehen, und erneuere es dann bei deinem Hoster oder lass es neu ausstellen.
Ursache 3: Mixed Content
MDN definiert Mixed Content als sicher geladene Seite, die einige Ressourcen über HTTP abruft. Browser versuchen, Bilder, Audio und Video automatisch auf HTTPS umzustellen, und blockieren Skripte, Stylesheets, iframes und Schriften, die http:// verwenden.
Blockierte Dateien lassen Teile der Seite kaputtgehen, während umgestellte Dateien unbemerkt fehlschlagen können, wenn der andere Server kein HTTPS hat. So oder so: Ändere die Adresse auf https://.
Welche http://-Dateien Browser reparieren und welche sie blockieren
Das folgt der Mixed-Content-Referenz von MDN. Umstellbare Anfragen schreibt der Browser auf HTTPS um; alles andere auf der Liste wird blockiert.
Umgang der Browser mit Mixed Content (MDN)
Ressource
Verhalten des Browsers
<img src>, <audio src>, <video src>, <source>
Automatisch auf https:// umgestellt
Ein Bild, dessen Adresse eine reine IP ist, wie http://93.184.215.14/
Webfonts, fetch()- und XMLHttpRequest-Aufrufe, <object data>
Blockiert
Zwei Header, die helfen, sobald HTTPS funktioniert
Füge sie bei deinem Hoster oder CDN hinzu. Der erste bittet Browser, jede Anfrage umzustellen; der zweite sagt ihnen, für diese Domain ab sofort nur noch HTTPS zu verwenden.
Jede Anfrage umstellen
Eine Übergangslösung, während du alte Adressen korrigierst. Sie funktioniert nur für Dateien, die auch über HTTPS verfügbar sind.
Strict-Transport-Security (HSTS)
max-age wird in Sekunden angegeben; 31536000 entspricht einem Jahr. Browser, die das sehen, lassen Besucher nicht mehr an Zertifikatsfehlern vorbeiklicken, also teste vorher.
Mixed-Content-Scanner
Füge das HTML einer Seite ein (Rechtsklick auf die Seite, dann Seitenquelltext anzeigen, dann kopieren). Der Scan läuft in deinem Browser, und nichts wird hochgeladen.
HTML der Seite
{n} http://-Adressen gefunden.
In deinem eingefügten Text wurden keine http://-Adressen gefunden.
Adresse
Wo
Was passiert
Umstellbar: Der Browser versucht selbst https://, und die Datei fehlt, wenn der Server kein HTTPS hat
Auf einer HTTPS-Seite blockiert: auf https:// ändern
Das Formular sendet seine Daten unverschlüsselt: action auf https:// ändern