Eine sichere Website erfordert drei separate Schritte: ein Zertifikat ausstellen, alle Besucher auf HTTPS umleiten und sicherstellen, dass auf der Seite nichts mehr über unverschlüsseltes HTTP geladen wird. Jeder Schritt löst ein anderes Problem, und wer die Reihenfolge nicht einhält, handelt sich Browserwarnungen und Weiterleitungsschleifen ein.
Diese Anleitung führt Sie mit den Tools, die Ihnen in cPanel bereits zur Verfügung stehen, durch alle drei Schritte beim Shared- und Reseller-Hosting von WebGee.
Das Wichtigste
- Neue Domains sind standardmäßig von AutoSSL ausgeschlossen. Nehmen Sie sie deshalb unter SSL/TLS Status auf, bevor Sie AutoSSL ausführen.
- Installieren Sie ein funktionierendes Zertifikat, bevor Sie HTTPS erzwingen, sonst erhält jeder Besucher eine Sicherheitswarnung im Browser.
- Der cPanel-Schalter Force HTTPS Redirect ist für fast jede Website die richtige Wahl. Verwenden Sie .htaccess nur für bedingte Regeln.
- Fehlt das Schloss-Symbol, obwohl die Weiterleitung funktioniert, liegt meist Mixed Content vor. Die Browserkonsole listet die betroffenen Ressourcen für Sie auf.
- Erzwingen Sie HTTPS nur an einer einzigen Stelle und stellen Sie Cloudflare auf Full (strict), um Weiterleitungsschleifen zu vermeiden.
Bevor Sie beginnen
- Ihre Domain zeigt auf Ihr WebGee-Hostingkonto (prüfen Sie die Nameserver oder den A-Eintrag).
- Sie können sich bei cPanel für das Konto anmelden.
- Falls die Website mit WordPress läuft, können Sie sich im WordPress-Dashboard anmelden.
- Falls die Domain hinter Cloudflare liegt, können Sie sich bei Ihrem Cloudflare-Konto anmelden.
Schritt 1: Ein kostenloses Zertifikat mit AutoSSL ausstellen
WebGee stellt über AutoSSL für die gesamte Laufzeit des Kontos kostenlose SSL-Zertifikate aus und erneuert sie. Die Zertifikate werden von Sectigo mit 256-Bit-Verschlüsselung ausgestellt, sind 90 Tage gültig und werden vor Ablauf automatisch erneuert.
Es gibt allerdings einen Haken: Neue Domains sind standardmäßig von AutoSSL ausgeschlossen, sodass ein bloßes Ausführen von AutoSSL nichts bewirkt. Nehmen Sie die Domains daher zuerst auf:
- Öffnen Sie in cPanel im Bereich Security den Punkt SSL/TLS Status.
- Aktivieren Sie das Kontrollkästchen in der Tabellenüberschrift, um alle Domains auf einmal auszuwählen.
- Wählen Sie Include Domains during AutoSSL. Sie erhalten eine Bestätigung, in der jede Domain genannt wird, deren Ausschluss aufgehoben wurde.
- Wählen Sie Run AutoSSL.
- Warten Sie, bis die Prüfung abgeschlossen ist, und laden Sie die Seite dann neu.
Jede Domain zeigt nun ein grünes Schloss und AutoSSL Domain Validated. Die Ausstellung dauert normalerweise ein paar Minuten, und die Aufnahme ist einmalig: Für Erneuerungen müssen Sie nichts weiter tun. Die vollständige Anleitung mit Screenshots finden Sie unter Ein kostenloses SSL-Zertifikat installieren.
Wählen Sie alles aus, nicht nur Ihre Hauptdomain
Die Liste enthält auch die Service-Subdomains, die cPanel anlegt, etwa mail., webmail., cpanel., autodiscover. und autoconfig.. Nehmen Sie alle auf. E-Mail-Programme verbinden sich mit mail., und Outlook sowie Apple Mail nutzen autodiscover. und autoconfig., um sich selbst einzurichten. Ohne Zertifikate zeigen diese Verbindungen Sicherheitswarnungen an, selbst wenn mit der Website alles in Ordnung ist.
Prüfen Sie, ob das Zertifikat funktioniert
Rufen Sie https://example.com auf und vergewissern Sie sich, dass keine Browserwarnung erscheint, oder testen Sie es im Terminal:
curl -sI https://example.com | head -n 1Auch die Seitenleiste im cPanel-Dashboard eignet sich für eine schnelle Kontrolle: Sobald das Zertifikat eingerichtet ist, steht dort Active statt Inactive.
Wenn AutoSSL kein Zertifikat ausstellen kann
Bleibt eine Domain auch nach der Aufnahme ohne Zertifikat, gehen Sie diese möglichen Ursachen durch:
- Die Domain zeigt nicht auf Ihr Konto. AutoSSL weist die Kontrolle über die Domain nach, indem es eine Datei per HTTP abruft. Eine Domain, die woandershin zeigt oder deren DNS-Änderung sich noch verbreitet, besteht die Validierung daher nicht. Prüfen Sie, welche Nameserver die Domain verwendet.
- Die Domain unterliegt Exportbeschränkungen. Sectigo darf nach US-Exportrecht keine Zertifikate für Domains in bestimmten Ländern ausstellen. Für Let's Encrypt gilt diese Einschränkung nicht; wählen Sie es unter SSL/TLS Status als Anbieter aus.
- Sie benötigen ein Wildcard-Zertifikat. AutoSSL stellt ausschließlich Zertifikate pro Hostname aus. Für
*.example.comverwenden Sie das Tool Let's Encrypt™ SSL in cPanel. Wildcards werden über einen DNS-TXT-Eintrag validiert. Das geschieht automatisch, wenn Ihr DNS in cPanel gehostet wird, und ist ein manueller Schritt, wenn es bei Cloudflare oder einem Registrar liegt. Siehe Ein Wildcard-Zertifikat mit Let's Encrypt installieren. - Es handelt sich um eine Service-Subdomain einer Alias-Domain. cPanel legt für Alias-Domains (Parked Domains) kein
mail.odercpanel.an, sodass AutoSSL dort nichts abzusichern hat. Verwenden Sie in E-Mail-Programmen stattdessen denmail.-Hostnamen der Hauptdomain; die Postfachadresse muss nicht mit dem Server-Hostnamen übereinstimmen. Siehe Warum AutoSSL einige Service-Subdomains überspringt.
Erst das Zertifikat, dann die Weiterleitung Wenn Sie HTTPS für eine Domain ohne funktionierendes Zertifikat erzwingen, sieht jeder Besucher statt Ihrer Website eine Sicherheitswarnung im Browser. Rufen Sie https://example.com direkt auf und vergewissern Sie sich, dass die Seite funktioniert, bevor Sie eine Weiterleitung aktivieren.
Schritt 2: HTTPS erzwingen
Die Installation eines Zertifikats leitet Besucher noch nicht auf die sichere Version Ihrer Website weiter. Dafür gibt es eine eigene Einstellung.
Den cPanel-Schalter verwenden
Das ist für fast jede Website die richtige Wahl. Die Weiterleitung greift auf Webserver-Ebene, noch bevor Anwendungscode ausgeführt wird, und bei einem Hosterwechsel müssen Sie nichts rückgängig machen.
- Öffnen Sie in cPanel den Punkt Domains.
- Suchen Sie Ihre Domain in der Liste.
- Aktivieren Sie Force HTTPS Redirect.
Die Änderung wird sofort wirksam. Um mehrere Domains auf einmal zu ändern, markieren Sie sie in der linken Spalte und wählen Sie oberhalb der Tabelle Enable Force HTTPS Redirect.
WordPress entsprechend anpassen
WordPress speichert seine eigene Adresse. Steht dort noch http://, erzeugt WordPress weiterhin HTTP-Links und schickt Besucher hin und her.
- Gehen Sie in WordPress zu Settings → General.
- Setzen Sie sowohl WordPress Address (URL) als auch Site Address (URL) auf
https://example.com. - Wählen Sie Save Changes.
.htaccess nur für bedingte Regeln verwenden
Wenn Sie ein Verhalten benötigen, das der Schalter nicht abbilden kann, etwa HTTPS nur für ein bestimmtes Unterverzeichnis zu erzwingen, fügen Sie Folgendes ganz oben in die Datei .htaccess in Ihrem Document Root ein, oberhalb aller vorhandenen Rewrite-Regeln. Schreiben Sie jede Direktive in eine eigene Zeile; Apache lehnt sie ab, wenn sie aneinandergereiht sind.
RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]Verwenden Sie R=301 und nicht nur R: Eine permanente Weiterleitung sorgt dafür, dass Suchmaschinen die HTTPS-Adresse als kanonisch behandeln. Verwenden Sie %{HTTP_HOST} statt einer fest eingetragenen Domain, damit die Regel für alle Domains und Subdomains des Kontos funktioniert.
Die Weiterleitung prüfen
curl -sI http://example.com | head -n 3Sie sollten HTTP/1.1 301 Moved Permanently sowie einen Location:-Header sehen, der auf die https://-Adresse zeigt. Ein 302 bedeutet, dass die Weiterleitung nur vorübergehend ist. Weitere Details finden Sie unter HTTPS auf Ihrer Website erzwingen.
Weiterleitungsschleifen vermeiden
Eine Weiterleitungsschleife bedeutet fast immer, dass HTTPS an zwei Stellen gleichzeitig erzwungen wird, häufig über den cPanel-Schalter, eine .htaccess-Regel und zusätzlich ein Plugin. Entscheiden Sie sich für eine Methode und entfernen Sie die anderen.
Hinter Cloudflare verursacht der SSL-Modus Flexible dieselbe Schleife: Cloudflare ruft Ihre Website über HTTP ab, Ihr Server leitet auf HTTPS um, und das Ganze beginnt von vorn. Stellen Sie den SSL-Modus von Cloudflare auf Full (strict), der mit Ihrem AutoSSL-Zertifikat funktioniert. Siehe Ihre Website hinter Cloudflare betreiben.
Schritt 3: Mixed-Content-Warnungen beheben
Funktioniert die Weiterleitung, zeigt der Browser aber trotzdem Nicht sicher, ein durchgestrichenes Schloss oder eine Seite mit fehlender Formatierung, dann lädt die Seite Bilder, Stylesheets oder Skripte über unverschlüsseltes HTTP. Das nennt man Mixed Content. Browser blockieren Skripte und Stylesheets vollständig und geben bei Bildern eine Warnung aus.
Die betroffenen Ressourcen finden
Öffnen Sie die Browserkonsole: Klicken Sie in Chrome, Edge oder Firefox mit der rechten Maustaste auf die Seite, wählen Sie Inspect und dann Console. In Safari aktivieren Sie zuerst Develop in den erweiterten Einstellungen. Laden Sie die Seite bei geöffneter Konsole neu. Jede Warnung nennt eine URL, die mit http:// beginnt – das ist Ihre Liste der zu behebenden Stellen.
Die Probleme beheben
- WordPress: Vergewissern Sie sich, dass beide Adressen unter Settings → General mit
https://beginnen, und installieren Sie dann das Plugin Really Simple SSL, dashttp://-Verweise beim Ausliefern der Seiten umschreibt. Für eine dauerhafte Lösung ersetzen Sie die URLs in der Datenbank mit Better Search Replace. Das Plugin verarbeitet serialisierte Daten korrekt, die ein einfaches Suchen und Ersetzen per SQL beschädigen würde. - Handgeschriebene Websites: Ändern Sie jeden Verweis in einen relativen Pfad wie
/logo.pngoder eine absolutehttps://-URL. Relative Pfade funktionieren unabhängig von Protokoll und Domain. - Ressourcen von Drittanbietern: Wechseln Sie zur HTTPS-URL, sofern die externe Website eine anbietet. Ist das nicht der Fall, hosten Sie die Datei selbst; anders lässt sie sich nicht sicher laden.
Die vollständige Anleitung finden Sie unter Mixed-Content-Warnungen beheben.
In einem privaten Fenster testen Eine zwischengespeicherte Version der Seite kann weiterhin das alte Verhalten zeigen. Leeren Sie den Cache Ihres Caching-Plugins, leeren Sie gegebenenfalls den Cloudflare-Cache und prüfen Sie mehrere Seiten, nicht nur die Startseite.
Kurz zusammengefasst
Nehmen Sie alle Domains in AutoSSL auf und führen Sie es aus. Prüfen Sie, ob https:// fehlerfrei lädt. Aktivieren Sie Force HTTPS Redirect an nur einer Stelle und passen Sie WordPress entsprechend an. Beseitigen Sie anschließend mithilfe der Browserkonsole alle verbliebenen http://-Ressourcen, bis das Schloss auf jeder Seite wieder erscheint.
Häufige Fragen
Was kostet das SSL-Zertifikat?
Nichts. WebGee stellt AutoSSL-Zertifikate beim Shared- und Reseller-Hosting für die gesamte Laufzeit des Kontos kostenlos aus und erneuert sie.
Muss ich mein Zertifikat manuell erneuern?
Nein. AutoSSL-Zertifikate sind 90 Tage gültig und werden vor Ablauf automatisch erneuert. Sobald eine Domain in AutoSSL aufgenommen ist, sind für Erneuerungen keine weiteren Schritte nötig.
Warum stellt AutoSSL kein Zertifikat für meine Domain aus?
Die beiden häufigsten Ursachen: Die Domain ist noch von AutoSSL ausgeschlossen, oder sie zeigt noch nicht auf Ihr Konto. Beides sieht in der Oberfläche gleich aus. Prüfen Sie daher zuerst den Ausschluss und anschließend, welche Nameserver die Domain verwendet.
Kann AutoSSL ein Wildcard-Zertifikat ausstellen?
Nein. AutoSSL stellt Zertifikate pro Hostname aus. Für *.example.com verwenden Sie das Tool Let's Encrypt SSL in cPanel, das Wildcards über einen DNS-TXT-Eintrag validiert.
