TrueURL
TrueURL

Menu

Lingua Italiano
Tema

Strumento gratuito per i redirect

Verifica redirect HTTPS

Inserisci un dominio per testare i quattro modi in cui le persone possono raggiungerlo: http e https, con e senza www. Ognuno deve arrivare allo stesso indirizzo HTTPS con un unico reindirizzamento permanente.

Che cosa controlla la verifica HTTPS

Per l’host che inserisci, TrueURL crea quattro URL di partenza e li traccia uno per uno:

  • http://example.com
  • http://www.example.com
  • https://example.com
  • https://www.example.com

In una configurazione corretta, tutti e quattro terminano su un unico URL HTTPS canonico. Quella versione risponde direttamente con 200 OK e le altre tre la raggiungono con un solo 301 o 308. Ogni salto che torna da HTTPS a HTTP viene segnalato.

TrueURL controlla anche HSTS: legge l’intestazione Strict-Transport-Security della risposta HTTPS finale (di norma il tuo URL canonico) e ne mostra il valore grezzo, il max-age e se sono impostati includeSubDomains e preload. Un max-age di almeno un anno supera il controllo. Un max-age più breve, max-age=0, un’intestazione senza un max-age valido o l’assenza dell’intestazione vengono segnalati con un avviso.

Problemi comuni con i redirect HTTPS e come risolverli

  • Nessun reindirizzamento da HTTP: la versione http:// mostra la pagina invece di reindirizzare. Aggiungi un reindirizzamento a HTTPS valido per tutto il sito; un tag canonical da solo non protegge i visitatori.
  • Due o più salti: ad esempio da http://example.com a https://example.com e poi a https://www.example.com. Unisci le regole per protocollo e host in modo che ogni variante vada direttamente all’URL finale (ma vedi più sotto l’eccezione per il preload HSTS).
  • Reindirizzamento temporaneo: un 302 o 307 da HTTP a HTTPS. Usa un 301 o un 308, così i motori di ricerca indicizzano solo la versione HTTPS.
  • Downgrade da HTTPS: un salto da https:// che torna a http://, di solito causato da una regola dimenticata o da un’applicazione dietro un proxy o una CDN che costruisce URL assoluti con il protocollo sbagliato.
  • Errori di certificato: una variante, spesso www, non è coperta dal certificato. La rete edge di Cloudflare convalida sempre i certificati, quindi quella variante mostra un errore TLS al posto di un reindirizzamento.
  • Varianti che non concordano: la versione www e quella senza www finiscono su URL diversi, e i segnali si dividono tra due host.

HSTS e l’eccezione per il preload

HSTS indica ai browser di usare automaticamente HTTPS per il tuo dominio, senza richiedere prima HTTP. Un’intestazione tipica è Strict-Transport-Security: max-age=31536000; includeSubDomains. I browser la accettano solo nelle risposte HTTPS e la ignorano su HTTP non cifrato.

Se vuoi aggiungere il tuo dominio alla lista di preload HSTS dei browser su hstspreload.org, il primo salto da HTTP deve restare sullo stesso host: da http://example.com a https://example.com, e solo dopo a https://www.example.com. Questa catena di due salti è l’eccezione ammessa alla regola del salto unico. L’intestazione deve poi avere un max-age di almeno un anno, includeSubDomains e preload, e deve essere inviata anche sul reindirizzamento HTTPS stesso.

Dopo il passaggio a HTTPS

  • Aggiorna link interni, tag canonical, annotazioni hreflang e sitemap con gli URL HTTPS, così i crawler non continuano a incontrare reindirizzamenti.
  • Mantieni per sempre il reindirizzamento da HTTP a HTTPS: i vecchi link punteranno a http:// per anni.
  • Assicurati che la versione HTTPS del sito sia verificata in Google Search Console e invia la sitemap aggiornata.
  • Ripeti la verifica dopo ogni modifica a CDN, hosting o certificato.

Guide

Domande frequenti

Come faccio a verificare se HTTP reindirizza a HTTPS?

Inserisci il tuo dominio qui sopra. TrueURL richiede le versioni http:// e https://, con e senza www, e mostra dove finisce ciascuna, quali codici di stato sono stati usati e quanti salti sono serviti. La configurazione è corretta quando tutte e quattro raggiungono lo stesso URL HTTPS e ogni reindirizzamento è permanente.

Meglio usare il www o no?

Per la SEO vanno bene entrambe le soluzioni. Ciò che conta è sceglierne una, reindirizzare l’altra con un 301 e usare sempre la stessa versione nei link, nei tag canonical e nella sitemap. Un host www può essere più facile da collegare a una CDN, perché il DNS non consente un record CNAME sul dominio principale (alcuni provider DNS offrono soluzioni alternative), ma si tratta di una scelta tecnica, non di un fattore di ranking.

Perché Chrome DevTools mostra un 307 da HTTP a HTTPS?

Quel “307 Internal Redirect” viene generato da Chrome stesso perché il sito è nella sua lista HSTS, quindi nessuna richiesta è stata inviata via HTTP. Il vero reindirizzamento del server potrebbe essere un 301 o qualcosa di completamente diverso. TrueURL non ha una cache HSTS, quindi mostra sempre la risposta effettiva del server.

Un 302 da HTTP a HTTPS è un problema?

Un problema piccolo. I visitatori arrivano comunque su HTTPS, ma un reindirizzamento temporaneo comunica ai motori di ricerca che l’URL HTTP potrebbe tornare, e questo può rallentare il passaggio o renderlo meno chiaro. Sostituiscilo con un 301 o un 308.

Come faccio a verificare se il mio sito invia HSTS?

Inserisci il tuo dominio qui sopra e apri il controllo HSTS nei risultati. TrueURL legge l’intestazione Strict-Transport-Security della risposta HTTPS finale e ne mostra il valore, il max-age (con un avviso se è inferiore a un anno) e se sono impostati includeSubDomains e preload. Senza questa intestazione, ogni visita che parte da un dominio digitato a mano o da un vecchio link http:// inizia con una richiesta non cifrata, che chiunque sulla stessa rete potrebbe intercettare. Con l’intestazione, i browser che l’hanno già ricevuta vanno direttamente su HTTPS la volta successiva. Inizia con un max-age breve, verifica che tutti i sottodomini funzionino su HTTPS prima di aggiungere includeSubDomains, poi porta il valore a un anno o più.

Posso testare un sito con un certificato non valido o scaduto?

Vedrai il problema, ma non potrai andare oltre. La convalida dei certificati non può essere disattivata sulla rete edge di Cloudflare, nemmeno con Ignora errori SSL attivo, quindi la variante interessata mostra un errore TLS su quel salto. Di solito è proprio ciò che ti serve sapere: anche i browser mostreranno un avviso ai visitatori in quel punto.

Devo reindirizzare ogni pagina o solo la home page?

Ogni URL. Una regola valida per tutto il sito deve inviare http://example.com/any/path?query allo stesso percorso e alla stessa query string su HTTPS. Testa alcuni URL interni con la Verifica catena di redirect, oppure molti insieme con la Verifica redirect in blocco.