SSL Checkliste

Hab mal kurz gegoogelt.
Wenn man ein Single Site Certificate hat, sollte das hier in die .htaccess falls man es nicht schon Serverseitig gemacht hat:
#First rewrite any request to the wrong domain to use the correct one (here *** Link veraltet ***
RewriteCond %{HTTP_HOST} !^www\.
RewriteRule ^(.*)$ https://beispiel.rocks/www.%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
#Now, rewrite to HTTPS: RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://beispiel.rocks/%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Öhm Alex weisst aber was ne checkliste ist.
Ich weiß z.b. immer noch nicht was ich auf meinen Seiten ändern muss.
interne verlinkung, fotos, was muss wie umgeleitet werden und noch tausend fragen
scripte, externe fonts, java und und und

Zitat

Ich weiß z.b. immer noch nicht was ich auf meinen Seiten ändern muss.

Alle internen Links, wenn diese mit https://beispiel.rocks/beispiel.rocks/ gesetzt sind. Ist es nur der Pfad, dann betrifft es die nicht.

Alle extern eingebundenen Dateien, wenn die per URL angesprochen werden, als JS, CSS, Bilder, Like-Button etc.

Also im Prinzip alles, was aktuell als "src" "http" hat.

Zitat

Aber nicht: Interne Links!

Doch Alex, wenn es absolute Links sind, also *** Link veraltet ***. Sonst läuft der Aufruf unnötig durch den Redirect. Wenn der Link aber "/ziel.html" ist, dann passt das so.

Und wegen dem Rewrite....

RewriteCond %{SERVER_PORT} !443
RewriteRule (.*) https://beispiel.rocks/%{HTTP_HOST}/$1 [R=301,L]

das funktioniert, ist aber suboptimal, weil hier die Geschichte mit www bzw. ohne nicht berücksichtigt wird. Im schlechtesten Fall muss eine Seite z.B. zwei mal weitergeleitet werden, bis sie am Ziel ist. Das ist genau der Grund, warum Dein Forum bei fehlendem Zertifikat für www einen Zertifikatsfehler brachte, denn Du leitest auch zwei mal um. Erst von *** Link veraltet *** nach *** Link veraltet *** und dann an *** Link veraltet ***

Das sollte man also per RewriteCond kombinieren und nur eine RewriteRule verwenden. Die hier macht aber genau das Gegenteil, die leitet an www weiter.

RewriteCond %{HTTP_HOST} !^www\.domain\.de$ [OR]
RewriteCond %{SERVER_PORT} !=443
RewriteRule ^(.*)$ https://beispiel.rocks/www.domain.de/$1 [L,R=301]

aber eben nur einmal und das, wenn der Aufruf nicht mit www ist ODER nicht Port 443 ODER beides zusammen.

Naja. Es ist ja kein grosser Aufwand, alle Dateien und auch die DB einmal darauf zu checken, ob irgendwo ein https://beispiel.rocks/beispiel.rocks/ vorkommt. Das ändert man dann halt in *** Link veraltet ***

Meine Frage ist auch: Ist die Site example.com immer noch "sicher" im Userbrowser, wenn durch Subdomains wie z.B. css.example.com oder images.example.com Dateinen geladen werden?

Öhm...
also bei ist ist es so:

RewriteEngine On
RewriteCond %{HTTP_HOST} !^www\.domain\.tv$ [NC]
RewriteRule ^(.*)$ https://beispiel.rocks/beispiel.rocks/www.domain.tv/$1 [L,R=301]

muss also nur das "s" anhängen?

Zitat

Meine Frage ist auch: Ist die Site example.com immer noch "sicher" im Userbrowser, wenn durch Subdomains wie z.B. css.example.com oder images.example.com Dateinen geladen werden?

Wenn die css. image. auch per https://beispiel.rocks/ angesprochen werden, dann ja. Wenn nicht, gibts ne Warnung wegen unsicheren Inhalten.

[USER="123"]wabse[/USER], nein, nicht nur.

Wenn Du nur da bei der Rule ein "s" anhängst, dann leitet der alles weiter, was ohne www rein kommt, nicht aber das, was per *** Link veraltet *** ankommt.

Du brauchst entweder einen zweiten Block mit Cond und Rule (was eventuell zwei Weiterleitungen ergibt, in dem speziellen Fall aber nicht, da mit festen Namen gearbeitet wird) oder die vorhandene Cond um eine erweitern. Siehe mein Beispiel oben.

Wichtig sind ja die Conds vor der Rule. Nur wenn die Cond zutrifft, wird die Rule ausgeführt.

Und "RewriteCond %{HTTP_HOST} !^www\.domain\.tv$ [NC]" kann nur auf "nicht www" zutreffen.

Aha^^ Also, wenn die Daten von derselben Domain (example.com) kommen, gibts keine Warnung. Nur, wenn sie von einer anderen Domain (beispiel.de) kommen?
Oder hat das einfach was mit dem aufruf https://beispiel.rocks/ zu tun?

also dann so:

RewriteEngine On
RewriteCond %{HTTP_HOST} !^www\.domain\.tv$ [NC]
RewriteCond %{HTTP_HOST} !^\.domain\.tv$ [NC]
RewriteRule ^(.*)$ https://beispiel.rocks/www.domain.tv/$1 [L,R=301]

Warum nicht einfach erst zu www umschreiben
RewriteCond %{HTTP_HOST} !^www\.

Dann die https-Aufrufe direkt weiterleiten
RewriteRule ^(.*)$ https://beispiel.rocks/www.%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Dann die Aufrufe von http zu https umschreiben
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://beispiel.rocks/%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Oder hab ich das jetzt total verbastelt?

Ich gebs auf...

Vielleicht biste mal so gut und stellt das mal richtig ein.

Ich hab ne gute Idee:
Wir lassen das http/https-Zeugs einfach Serverseitig regeln.
Wenns nicht klappt, kriegt er Gruppenkeile.
Fertig.

Najane mann muss das schon verstehen.