Seit heute wird jeglicher Traffic von http:// auf https:// umgeleitet; aktuell noch per Status-Code 302, später dann per 301.

Habe dafür in den letzten Tagen alle internen Verlinkungen z. B. hier im Blog auch auf https umgestellt, so wie auch in meinen beiden Wikis.

Hatte schon länger vor das umzusetzen und da kam dieser Artikel heute als Erinnerung daran gerade recht :)

• www.natenom.com
• natenom.de
• wiki.natenom.de
• wiki.natenom.com
• piwik.natenom.com
• f.natenom.de
• and a few old websites mostly to forward to the new ones

The other domains will follow as soon as whitelisted by Letsencrypt. Got the email today; done :)

The default is still HTTP because nobody except me needs to login on any of my websites and everything is public anyway. After reading this I decided to make HTTPS the default and thus enabled HTTP Strict Transport Security (HSTS) as described in this tutorial :)

The results is an A+ rating on SSLLabs.com :)

WordPress

In this WordPress blog I had to change both „WordPress-Address (URL)“ and „Website-Address (URL)“ to https://…

Then I used the WordPress plugin „Search Regex“ to replace every http://-URL to images in this blog and to my other websites with https://.

Trouble with Piwik

Because of a self hosted Piwik instance I had some trouble and had to do a bit of configuration stuff in order to make https AND http work.

Instead of setting http or https in the Piwik URL one has to set it without a protocol prefix, so instead of  „https://piwik.natenom.com“ or „https://piwik.natenom.com“ set it to „//piwik.natenom.com“.

If the client uses http it will use http for Piwik, too. Same goes for https.

Where to change the Piwik URL:

• MediaWiki:
  $wgPiwikURL in LocalSettings.php
• DokuWiki:
  Admin section -> Configuration -> „plugin -> piwik -> piwik_url“
• WordPress: Don’t know as there were no problems with it :)

In Piwik itself, I also added the https:// URLs to the list of valid URLs of every single website but I don’t know if this was needed.

HTTP/2

While working on the setup of my websites I also enabled HTTP/2 (for https only).

\o/

Unter „Einstellungen“ -> „Allgemein“ sind sowohl „WordPress-Adresse (URL)“ als auch „Website-Adresse (URL)“ auf http eingestellt und dadurch sollte eigentlich auch im gesamten Blog alles nur per HTTP eingebunden werden; dies hat in der Vergangenheit auch funktioniert.

Menschen, die auch einen Blog mit selbst signiertem Zertifikat betreiben, können das ja mal im eigenen Blog überprüfen.

Ich weiss nicht genau, ob das erst seit dem Update auf 4.2 so ist oder schon länger.

Alte Artikel korrigieren

Um die Bilder in allen bisherigen Beiträge von https auf http umzustellen, habe ich das WordPress Plugin Search Regex verwendet und damit die Strings „/wp-content/uploads/“ durch „/wp-content/uploads/“ ersetzen lassen:

Problem insgesamt beheben?

Eine Lösung für das Problem konnte ich bisher leider nicht finden und ein kostenpflichtiges SSL-Zertifikat ist mir viel zu teuer. Auch kenne ich mich mit WordPress nicht wirklich aus, um das Problem zu lokalisieren.

Deshalb begnüge ich mich zunächst damit, nach dem Erstellen eines Artikels mit dem oben genannten Plugin alle neuen URLs von Grafiken mit http zu ersetzen.

Melde mich, wenn es was Neues diesbezüglich gibt. Vielleicht weiss ja jemand, wie man das lösen kann :)

Update vom 11.05.2015:
Es gab in der Zwischenzeit zwei Sicherheitsupdates für WordPress und heute gerade ist mir aufgefallen, dass das Problem nicht mehr auftritt.