HTTPS erzwingen: HTTP auf HTTPS umleiten

Damit Besucher immer auf der verschlüsselten Version deiner Website landen, leitest du HTTP-Aufrufe per 301 dauerhaft auf HTTPS um. Das Zertifikat kommt auf rack::SPEED-Servern automatisch — die Umleitung dagegen ist Teil deiner Website-Konfiguration und in beiden Panels ein einzelner Schalter. Wir setzen sie bewusst nicht serverweit: Eine erzwungene Umleitung schickt Anwendungen, deren Base-URL noch auf http:// steht, in eine Redirect-Schleife. Deshalb entscheidest du pro Domain, wann sie aktiv wird.

Voraussetzungen

• Ein gültiges Zertifikat für die Domain — läuft automatisch per AutoSSL, Status siehe Let’s Encrypt / HTTPS aktivieren. Für Kauf-Zertifikate mit Organisations-Validierung siehe SSL/TLS-Zertifikate.
• Die Website lädt unter https://… bereits fehlerfrei — erst prüfen, dann umleiten.

Umleitung im Panel aktivieren

Plesk

1. Öffne Websites & Domains → Hosting-Einstellungen der Domain.
2. Setz im Abschnitt Sicherheit den Haken bei Permanente SEO-sichere 301-Weiterleitung von HTTP zu HTTPS.
3. Bestätige mit OK.

cPanel

1. Öffne Domains.
2. Aktiviere in der Zeile der Domain den Schalter HTTPS erzwingen (Force HTTPS Redirect).

Ist der Schalter ausgegraut, fehlt noch ein gültiges Zertifikat — erst Sicherheit → SSL/TLS-Status → AutoSSL ausführen.

Danach die Umleitung testen:

curl -I http://deinedomain.de

Die Antwort muss 301 und eine Location:-Zeile mit https:// zeigen.

Anwendung mitziehen

Stell auch die Base-URL deiner Anwendung auf https:// — WordPress unter Einstellungen → Allgemein (Site- und Home-URL), Shopware in den Verkaufskanal-Domains, Magento in web/secure/base_url. Sonst erzeugt die Anwendung weiter http://-Links, die jeder Klick erst durch die Umleitung schleift.

Alternative: Umleitung per .htaccess

Für Sonderfälle — etwa wenn nur ein Teilbereich umgeleitet werden soll — geht die Umleitung auch direkt im Document Root per .htaccess (LiteSpeed liest Apache-Direktiven):

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Nutz entweder den Panel-Schalter oder die .htaccess-Regel — beides zusammen leitet doppelt um und erschwert die Fehlersuche.

Wenn etwas schiefläuft

ERR_TOO_MANY_REDIRECTS nach dem Aktivieren

Die Anwendung leitet auf ihre http://-Base-URL zurück, der Server wieder auf HTTPS — eine Schleife. Zweite häufige Ursache: Panel-Schalter und eigene .htaccess-Regel gleichzeitig aktiv.

Lösung: Base-URL der Anwendung auf https:// stellen und die Umleitung nur an einer Stelle konfigurieren.

Browser zeigt trotz Umleitung „nicht sicher”

Die Seite lädt einzelne Ressourcen (Bilder, Skripte) noch über http:// — Mixed Content.

Lösung: Interne Links und Ressourcen auf https:// umstellen; Details im Stolperstein-Abschnitt von Let’s Encrypt / HTTPS aktivieren.

Die Umleitung greift nur ohne www. (oder umgekehrt)

Das Zertifikat oder die Umleitung deckt nur eine der beiden Varianten ab.

Lösung: Prüfen, dass das Zertifikat deinedomain.de und www.deinedomain.de enthält (AutoSSL macht das standardmäßig), dann beide Varianten mit curl -I testen.

Verwandte Artikel

• Let’s Encrypt / HTTPS aktivieren — das Zertifikat, ohne das die Umleitung ins Leere läuft.
• HSTS aktivieren — die Ausbaustufe: Browser merken sich HTTPS dauerhaft.
• Domain hinzufügen — neue Domains bekommen Zertifikat und Umleitung nach demselben Muster.

Du kommst nicht weiter?

Wenn die Umleitung trotz gültigem Zertifikat nicht greift: Ticket im Kundencenter öffnen. Nenn die Domain und ob du den Panel-Schalter oder eine .htaccess-Regel nutzt.