TrueURL
TrueURL

Menu

Idioma Português
Tema

Ferramenta de redirecionamento grátis

Verificador de redirecionamento HTTPS

Digite um domínio para testar as quatro formas de acessá-lo: http e https, com e sem www. Cada uma deve chegar ao mesmo endereço HTTPS com um único redirecionamento permanente.

O que a verificação de HTTPS testa

Para o host que você digitar, o TrueURL monta quatro URLs de partida e rastreia cada uma delas:

  • http://example.com
  • http://www.example.com
  • https://example.com
  • https://www.example.com

Em uma configuração saudável, as quatro terminam em uma única URL canônica com HTTPS. Essa versão responde 200 OK diretamente, e as outras três chegam a ela com um único 301 ou 308. Qualquer salto que volte de HTTPS para HTTP é sinalizado.

O TrueURL também verifica o HSTS. Ele lê o cabeçalho Strict-Transport-Security da resposta HTTPS final (normalmente a sua URL canônica) e mostra o valor bruto, o max-age e se includeSubDomains e preload estão definidos. Um max-age de pelo menos um ano é aprovado. Um max-age menor, max-age=0, um cabeçalho sem max-age válido ou a ausência do cabeçalho aparecem como aviso.

Problemas comuns de redirecionamento HTTPS e como corrigi-los

  • Sem redirecionamento a partir do HTTP: a versão http:// mostra a página em vez de redirecionar. Adicione um redirecionamento para HTTPS em todo o site; uma tag canonical sozinha não protege os visitantes.
  • Dois ou mais saltos: por exemplo, de http://example.com para https://example.com e depois para https://www.example.com. Combine as regras de protocolo e de host para que todas as variantes vão direto para a URL final (mas veja abaixo a exceção do preload do HSTS).
  • Redirecionamento temporário: um 302 ou 307 de HTTP para HTTPS. Use 301 ou 308 para que os mecanismos de busca indexem apenas a versão HTTPS.
  • Rebaixamento de HTTPS para HTTP (downgrade): um salto de https:// de volta para http://, geralmente causado por uma regra esquecida ou por uma aplicação atrás de um proxy ou CDN que monta URLs absolutas com o protocolo errado.
  • Erros de certificado: uma das variantes, muitas vezes a com www, não está coberta pelo certificado. A rede de borda da Cloudflare sempre valida os certificados, então essa variante mostra um erro de TLS em vez de um redirecionamento.
  • Variantes que não batem: as versões com www e sem www terminam em URLs diferentes, o que divide os sinais entre dois hosts.

HSTS e a exceção do preload

O HSTS diz aos navegadores para usar HTTPS automaticamente no seu domínio, sem fazer antes uma requisição HTTP. Um cabeçalho típico é Strict-Transport-Security: max-age=31536000; includeSubDomains. Os navegadores só o aceitam em respostas HTTPS e o ignoram em HTTP simples.

Se você quiser incluir o seu domínio na lista de preload do HSTS dos navegadores, em hstspreload.org, o primeiro salto a partir do HTTP precisa permanecer no mesmo host: de http://example.com para https://example.com e só depois para https://www.example.com. Essa cadeia de dois saltos é a exceção aceita à regra do salto único. O cabeçalho então precisa ter um max-age de pelo menos um ano, includeSubDomains e preload, e também precisa ser enviado no próprio redirecionamento HTTPS.

Depois de migrar para HTTPS

  • Atualize os links internos, as tags canonical, as anotações hreflang e o seu sitemap com as URLs HTTPS, para que os rastreadores não continuem passando por redirecionamentos.
  • Mantenha o redirecionamento de HTTP para HTTPS para sempre; links antigos vão continuar apontando para http:// por anos.
  • Confirme que a versão HTTPS do seu site está verificada no Google Search Console e envie o sitemap atualizado.
  • Verifique de novo depois de qualquer mudança de CDN, hospedagem ou certificado.

Guias

Perguntas frequentes

Como verificar se o HTTP redireciona para HTTPS?

Digite o seu domínio acima. O TrueURL faz a requisição das versões http:// e https://, com e sem www, e mostra onde cada uma termina, quais códigos de status foram usados e quantos saltos foram necessários. A sua configuração está correta quando as quatro chegam à mesma URL HTTPS e todos os redirecionamentos são permanentes.

Devo usar www ou sem www?

Qualquer um dos dois funciona para SEO. O que importa é escolher um, redirecionar o outro para ele com um 301 e usá-lo de forma consistente nos links, nas tags canonical e no sitemap. Um host com www pode ser mais fácil de apontar para uma CDN, porque o DNS não permite um registro CNAME no domínio raiz (alguns provedores de DNS oferecem alternativas), mas essa é uma escolha técnica, não um fator de ranqueamento.

Por que o DevTools do Chrome mostra um 307 de HTTP para HTTPS?

Esse “307 Internal Redirect” é gerado pelo próprio Chrome porque o site está na lista de HSTS dele, então nenhuma requisição chegou a ser enviada por HTTP. O redirecionamento real do servidor pode ser um 301 ou algo totalmente diferente. O TrueURL não tem cache de HSTS, então sempre mostra a resposta real do servidor.

Um 302 de HTTP para HTTPS é um problema?

Um problema pequeno. Os visitantes ainda chegam ao HTTPS, mas um redirecionamento temporário diz aos mecanismos de busca que a URL HTTP pode voltar, o que pode atrasar ou confundir a migração. Troque-o por um 301 ou 308.

Como verificar se o meu site envia HSTS?

Digite o seu domínio acima e abra a verificação de HSTS nos resultados. O TrueURL lê o cabeçalho Strict-Transport-Security da resposta HTTPS final e mostra o valor, o max-age (com um aviso se for menor que um ano) e se includeSubDomains e preload estão definidos. Sem o cabeçalho, toda visita que começa com um domínio digitado ou um link http:// antigo se inicia com uma requisição não criptografada, que alguém na mesma rede poderia interceptar. Com ele, os navegadores que já viram o cabeçalho vão direto para o HTTPS na próxima vez. Comece com um max-age curto, confirme que todos os subdomínios funcionam em HTTPS antes de adicionar includeSubDomains e depois aumente o valor para um ano ou mais.

Posso testar um site com certificado inválido ou expirado?

Você vai ver o problema, mas não o que vem depois dele. A validação de certificados não pode ser desativada na rede de borda da Cloudflare, nem com Ignorar erros de SSL ativado, então a variante afetada mostra um erro de TLS nesse salto. Em geral, é exatamente isso que você precisa saber: os navegadores também vão mostrar um aviso aos visitantes nesse ponto.

Preciso redirecionar todas as páginas ou só a página inicial?

Todas as URLs. Uma regra para o site inteiro deve enviar http://example.com/any/path?query para o mesmo caminho e a mesma query string em HTTPS. Teste algumas URLs de páginas internas com o Verificador de cadeia de redirecionamentos ou várias de uma vez com o Verificador de redirecionamento em massa.