HTTPS: co to je a proč na tom záleží

Co je HTTPS?

HTTPS je HTTP provoz běžící přes šifrovaný kanál TLS (Transport Layer Security). TLS poskytuje tři základní vlastnosti: důvěrnost (šifrování obsahu), integritu (detekce změn během přenosu) a ověření identity serveru pomocí digitálního certifikátu vystaveného důvěryhodnou certifikační autoritou.

Proč HTTPS záleží pro SEO

HTTPS není sám o sobě jediným faktorem pořadí, ale ovlivňuje několik oblastí, které mají na SEO reálný dopad. Změna protokolu mění URL (http:// vs https://), takže přechod bez správné konfigurace může ovlivnit crawlování a indexaci. HTTPS navíc zlepšuje signály důvěryhodnosti u uživatelů a některých vyhledávačů; to může nepřímo ovlivnit metriky chování (CTR, bounce), které vyhledávače zohledňují při řazení výsledků. Rozlišujte přitom jasně: HTTPS ovlivňuje crawl a indexaci proto, že jde o různé URL, ale pořadí (rank) závisí na mnoha dalších signálech.

Jak HTTPS funguje

Základní mechanismus je TLS handshake: klient a server si vymění informace o podporovaných protokolech a šifrách, server poskytne certifikát (a případně mezilehlé certifikáty), klient ověří řetězec důvěry a obě strany dohodnou sdílený symetrický klíč pro šifrování samotného HTTP provozu. Moderní verze TLS (např. TLS 1.3) zkracují handshake a zlepšují výkon a bezpečnost. V praxi také platí, že mainstreamové implementace HTTP/2 a HTTP/3 fungují přes TLS v běžných prohlížečích, takže povolení HTTPS otevírá možnost využít tyto protokoly pro lepší latenci a multiplexing.

Druhy HTTPS (typy certifikátů a nasazení)

Rozdíl mezi certifikáty se týká rozsahu ověření a pokrytí domén:

- DV (Domain Validation) — ověření vlastnictví domény; často dostupné zdarma a vhodné pro většinu webů.

- OV (Organization Validation) — navíc ověřuje organizaci; užitečné, pokud chcete u certifikátu zobrazovat informace o subjektu.

- EV (Extended Validation) — dříve přinášel výraznější vizuální indikátory v prohlížečích; v současnosti však mnoho prohlížečů EV nezvýrazňuje tak jasně jako dříve.

- Technické varianty: wildcard certifikát (pokryje subdomény), SAN certifikát (více domén), a certifikáty vydané pro CDN nebo load balancer.

Jak začít s HTTPS

Základní kroky pro spuštění HTTPS na webu:

1) Získejte certifikát od důvěryhodné certifikační autority (podpora SAN/wildcard podle potřeby).

2) Nainstalujte certifikát na server, CDN nebo load balancer; zajistěte správný řetězec mezilehlých certifikátů.

3) Konfigurujte server pro moderní TLS konfiguraci (doporučuje se povolit TLS 1.3 a bezpečné šifry, zakázat staré verze TLS/SSL).

4) Nastavte trvalé 301 přesměrování z HTTP na HTTPS, upravte interní odkazy, canonical tagy a mapy stránek tak, aby používaly https:// verzi.

5) Zvažte HSTS (Strict-Transport-Security) až po ověření, že HTTPS funguje bez chyb; HSTS preload byste měli použít opatrně a až po úplném otestování.

Běžné chyby HTTPS

- Mixed content: stránky načítají zdroje přes HTTP, což může zablokovat obsah v prohlížeči a rozbít funkčnost.

- Neúplné přesměrování nebo více přesměrovacích řetězců, které zpomalí crawlování a mohou ztratit signály odkazu.

- Neobnovené nebo nesprávně nainstalované certifikáty vedoucí k chybám pro uživatele a roboty.

- Povolení zastaralých a nebezpečných šifer nebo starých verzí TLS na serveru.

HTTPS kontrola: technický checklist

- **Platnost certifikátu** — kde ověřit: openssl / prohlížeč / SSL test — prochází, když certifikát není expirovaný a řetězec důvěry je kompletní.

- **TLS verze a šifry** — kde ověřit: serverový SSL/TSL test nebo openssl — prochází, když jsou povoleny moderní verze (např. TLS 1.3) a nejsou povoleny slabé šifry.

- **Přesměrování HTTP → HTTPS** — kde ověřit: curl -I, kontrola 301 — prochází, když http:// URL trvale přesměrovává na přesnou https:// verzi.

- **HSTS header** — kde ověřit: curl -I či prohlížeč — prochází, když header Strict-Transport-Security je přítomen a správně nastaven, po důkladném testování.

- **Žádný mixed content** — kde ověřit: DevTools Console nebo audit — prochází, když všechny zdroje (CSS, JS, obrázky) jsou načítány přes HTTPS.

- **Indexace HTTPS stránek** — kde ověřit: Google Search Console (URL Inspection) pro stránky, které vlastníte; pro třetí strany lze použít site: dotazy s vědomím omezení — prochází, když URL https:// je indexována nebo známá vyhledávači.

Ověření a řešení problémů: konkrétní nástroje a příkazy

curl: Základní kontroly hlaviček a přesměrování. - curl -I https://example.com vrátí pouze HTTP hlavičky; - curl -I http://example.com ukáže, zda se stránka přesměrovává na https://. Pokud chcete vidět HTML, použijte curl bez -I.

openssl: Kontrola certifikátu přes příkaz openssl s_client -connect example.com:443 -servername example.com, tento příkaz vypíše certifikát a řetězec; použijte jej k ověření dat expirace a subjektu.

Prohlížeč: Chrome DevTools → Security panel ukáže certifikát, případné chyby mixed content a základní informace o TLS. Console a Network pomohou najít blokované zdroje.

Search Console / Bing: Pro stránky, které vlastníte, použijte Google Search Console URL Inspection pro ověření indexace https:// URL a prohlédnutí problémů s indexací. Pro Bing použijte Site Explorer v Bing Webmaster Tools.

Externí indexace: pro kontrolu, zda vyhledávače zná externí stránku, lze použít site:example.com "unikátní fráze" jako indikaci; berte v úvahu, že site: není definitive indexace check.

Další nástroje: veřejné SSL testy (např. Qualys SSL Labs) pomohou odhalit slabiny konfigurace a zobrazí řetězec certifikátů a podporované protokoly.

Upozornění na indexaci versus pořadí: ověřování HTTPS často ukáže, že URL v jiné variantě (http vs https, www vs non-www) může být indexována jinak; to ovlivňuje indexaci, nikoli přímo algoritmické pořadí, které závisí na mnoha signálech.

Přečtěte si průvodce Technical SEO

Často kladené otázky

Zlepší HTTPS moje pořadí v Google?

HTTPS sám o sobě není univerzálním řešením pro lepší pozice. Google i jiné vyhledávače zohledňují bezpečnost a signály důvěryhodnosti, takže HTTPS může pozitivně ovlivnit chování uživatelů a indexaci, ale pořadí je výsledkem součtu mnoha signálů.

Co dělat, když prohlížeč hlásí "mixed content"?

Najděte zdroje, které se načítají přes http:// (CSS, JS, obrázky) a upravte odkazy na HTTPS nebo použijte relativní/bezschémové URL; po opravě zkontrolujte stránku v DevTools Console, zda chybová hlášení zmizela.

Je HSTS povinné?

Ne. HSTS zvyšuje bezpečnost tím, že donutí prohlížeč používat HTTPS, ale nasazujte ho jen poté, co jste si jisti, že HTTPS funguje bez výjimek. HSTS preload by měl být použit s opatrností, protože jeho odstranění je složitější.

Jak se postarat o expiraci certifikátu?

Použijte automatizované obnovování (ACME pro Let's Encrypt nebo automatické postupy u komerčních CA) a monitorování expirací; testujte obnovu v neprodukčním prostředí, abyste předešli výpadkům.