HTTPS auf deiner Website

Was diese Prüfung macht

Lädt deine Seite und bestätigt, dass sie über https:// statt http:// ausgeliefert wurde. Wenn deine Seite nur auf HTTP antwortet oder HTTPS falsch konfiguriert ist, schlägt diese Prüfung fehl.

Warum es wichtig ist

HTTPS ist eine Browser-Grundvoraussetzung, keine Optimierung. Drei direkte Konsequenzen, wenn es fehlt:

• Browser warnen Nutzer. Chrome, Firefox, Safari und Edge zeigen auf HTTP-Seiten mit Eingabefeldern den Hinweis „Nicht sicher”. Bei Formularübermittlungen erscheint eine ganzseitige Warnung. Viele Besucher springen ab, statt durchzuklicken.
• Google nutzt HTTPS als leichtes Ranking-Signal und tut das seit 2014. KI-Crawler (ChatGPT, Perplexity, Google AI Overviews) behandeln Nicht-HTTPS-Seiten als weniger vertrauenswürdig und überspringen sie unter Umständen.
• Kein HTTP/2 oder HTTP/3. Beide Protokolle setzen in der Praxis TLS voraus. HTTP-only-Seiten verlieren also auch die Geschwindigkeitsvorteile moderner HTTP-Versionen.

Wie du es behebst

Hol dir ein kostenloses Zertifikat von Let’s Encrypt und konfiguriere deinen Webserver so, dass er für jede URL https:// ausliefert.

nginx mit Certbot:

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d deinedomain.de -d www.deinedomain.de

Certbot passt deine nginx-Konfiguration an, installiert das Zertifikat und richtet die automatische Erneuerung per systemd-Timer ein.

Caddy stellt HTTPS automatisch bereit — ein einzeiliger Block deinedomain.de { reverse_proxy ... } in der Caddyfile reicht.

Hinter Cloudflare stellst du den SSL/TLS-Modus auf Full (strict) und aktivierst Always Use HTTPS unter SSL/TLS → Edge Certificates. Cloudflare übernimmt das Zertifikat von Anfang bis Ende.

Sobald die Zertifikate aktiv sind, kümmere dich auch um HTTP-zu-HTTPS-Weiterleitungen und HSTS — sie gehören zu dieser Prüfung.

Häufig gestellte Fragen

Wirkt sich HTTPS wirklich auf das SEO-Ranking aus?

Ja, aber als Tiebreaker, nicht als entscheidender Faktor. Google sagt seit 2014 ausdrücklich, dass HTTPS ein positives Ranking-Signal ist. Der größere SEO-Schaden ist indirekt: HTTP-Seiten haben höhere Absprungraten wegen der Browser-Warnungen.

Muss ich für ein Zertifikat bezahlen?

Nein. Let’s Encrypt stellt kostenlose 90-Tage-Zertifikate aus, die sich automatisch erneuern. Bezahlte Zertifikate (DigiCert, GoDaddy etc.) bieten Garantien und Extended-Validation-Branding mit grüner Adressleiste, aber Google bewertet sie fürs Ranking nicht besser als Let’s Encrypt.

Was ist mit Mixed-Content-Warnungen?

Wenn deine HTTPS-Seite irgendeine Ressource (Bild, Skript, CSS) über HTTP lädt, blockieren Browser sie entweder oder schwächen das Schloss-Symbol ab. Durchsuche deinen Code nach http:// und ersetze es durch https:// oder protokollrelative //-URLs. Moderne Browser upgraden die meisten Mixed-Content-Bilder automatisch auf HTTPS, aber Skripte und iframes werden direkt blockiert.