HTTPS und SEO: was sich wirklich ändert

Eine Website auf HTTPS umzustellen ändert vier konkrete Dinge. Das Ranking gehört dazu, und es ist bei Weitem das unwichtigste, was schade ist, denn genau darüber streiten alle. Die drei anderen sieht man sofort, sie lassen sich messen, und sie kosten wirklich etwas, solange sie nicht geregelt sind.

Die vier Wirkungen, nach tatsächlicher Bedeutung

Die rechte Spalte erklärt die Reihenfolge der linken: Die ersten drei Wirkungen stellt man fest, die vierte vermutet man.

1. Die Browser etikettieren die Website

Das ist der wahre Preis dafür, bei HTTP zu bleiben, und er hat mit Suchmaschinen nichts zu tun. Moderne Browser markieren Seiten über einfaches HTTP als „Nicht sicher“ in der Adressleiste und zeigen eine ausdrückliche Warnung, sobald ein Formular irgendetwas verlangt: eine E-Mail-Adresse, ein Passwort, eine Telefonnummer.

Ihr Besucher weiß nicht, was ein Protokoll ist. Er weiß, dass sein Browser ihm sagt, etwas stimme nicht, genau in dem Moment, in dem Sie ihn um Vertrauen bitten. Das ist ein Konversionsproblem, bevor es ein technisches ist, und es rechtfertigt die Umstellung ganz allein.

2. Sie verlieren Ihre Herkunftsdaten

Diese überrascht. Wenn jemand von einer HTTPS-Seite auf eine HTTP-Seite klickt, sendet der Browser überhaupt keinen Referrer. Das Ziel kann nicht wissen, woher der Besuch kommt.

Da heute nahezu das ganze Web auf HTTPS läuft, sieht eine HTTP-Website einen großen Teil ihres eingehenden Verkehrs als „direkt“ verbucht. Sie verlieren nicht die Besuche: Sie verlieren die Möglichkeit zu wissen, woher sie kommen, was schlimmer ist, weil es jede aus Ihrer Statistik abgeleitete Entscheidung still verfälscht. Ein sehr gut funktionierender Kanal kann so monatelang als nutzlos gelten und gestrichen werden.

3. Manche Browserfunktionen hören auf zu arbeiten

Standortbestimmung, Service Worker, Zugriff auf Kamera und Mikrofon, Benachrichtigungen und eine wachsende Liste moderner APIs funktionieren nur in dem, was Browser einen sicheren Kontext nennen. Unter HTTP existieren sie schlicht nicht.

Das ist keine Warnung, die man im Voraus erhält: Die Funktion scheitert, das ist alles, oft stillschweigend, und der Entwickler, der die Sache übernimmt, sucht einen halben Tag lang nach einem Fehler, den es nicht gibt.

4. Das Ranking, ein wenig

Google wiederholt seit Jahren, HTTPS sei ein leichtes Signal: von der Art, die zwei sonst gleichwertige Ergebnisse trennt. Das ist real, und es ist klein. Eine Seite, die nicht rankt, wird nicht von ihrem Protokoll zurückgehalten.

Betrachten Sie es als den vierten Grund, nicht den ersten. Und misstrauen Sie Erzählungen von Websites, deren Verkehr nach der HTTPS-Umstellung sprang: Fast immer ging die Umstellung mit einer URL-Bereinigung, sauberen Weiterleitungen und einer neu erzeugten Sitemap einher, und diese Arbeit hat sich ausgezahlt.

Wie lange, bis man eine Wirkung sieht

Das ist die Frage, die immer folgt, und die ehrliche Antwort enttäuscht ein wenig.

Die ersten drei Wirkungen sind sofort da: Das Etikett verschwindet mit der ersten ausgelieferten Seite, der Referrer kehrt beim ersten Klick zurück, die Browser-APIs arbeiten beim nächsten Neuladen. Nichts zu erwarten, nichts zu beobachten.

Die vierte sieht man nicht. Die neuen URLs müssen gecrawlt werden, die alten müssen Platz machen, und einige Wochen lang bestehen beide Fassungen im Index nebeneinander. Ein vorübergehender Rückgang des Verkehrs ist in dieser Zeit normal und sagt nichts über die Qualität der Umstellung. Etwas darüber sagt der Anteil alter URLs, die nach genau einer Weiterleitung korrekt antworten.

Die praktische Regel: Beurteilen Sie eine HTTPS-Umstellung an ihren Weiterleitungen, nicht an der Verkehrskurve nach vierzehn Tagen. Zehn alte Adressen von Hand zu öffnen sagt darüber mehr aus als jedes Diagramm. Die Kurve kommt zurück; eine vergessene Weiterleitung nicht.

Was HTTPS nicht tut

Das muss gesagt werden, denn das Wort „sicher“ richtet viel Schaden an.

HTTPS verschlüsselt den Transport zwischen Browser und Ihrem Server. Es macht Ihre Website nicht sicher: Eine Anwendungslücke, ein schwaches Passwort oder eine verseuchte Erweiterung bleiben genau das, was sie waren. Es verbirgt nicht den besuchten Domainnamen, nur Pfad und Inhalt. Und es sagt nichts über die Ehrlichkeit der Website: Eine Phishing-Seite bekommt in drei Minuten ein kostenloses Zertifikat, genau wie Sie.

Das Schloss bedeutet „die Verbindung ist verschlüsselt“, nicht „diese Website ist vertrauenswürdig“. Diese Verwechslung ist verbreitet, auch bei ernsthaften Leuten, und sie ist einer der Gründe, warum die Browser das Schloss inzwischen kleiner und unauffälliger darstellen als früher: Ein Zeichen, das alle haben, unterscheidet niemanden mehr.

Der Teil, der wirklich Sorgfalt verdient

Auf HTTPS umzustellen bedeutet, dass alle URLs Ihrer Website sich ändern. http://beispiel.de/leitfaden und https://beispiel.de/leitfaden sind zwei verschiedene Adressen, aus Sicht der Suchmaschinen wie aus Sicht Ihrer eigenen internen Links.

Es ist also eine Migration, mit der üblichen Arbeit: eine Weiterleitung für jede alte URL, aktualisierte kanonische Tags, eine neu erzeugte Sitemap und, das vergisst man, die im Inhalt geschriebenen absoluten http://-Links, die weiterhin auf das alte Protokoll zeigen und für jeden Leser eine Weiterleitung auslösen. Die Checkliste der Links bei einer Migration deckt die ganze Abfolge ab; nichts darin ist HTTPS-spezifisch, und genau das ist der Gedanke.

Ein Punkt verdient in den Folgewochen Beobachtung: URLs, die unter HTTP antworteten und keine HTTPS-Entsprechung haben, erzeugen 404 in Serie. Nicht alle verdienen eine Korrektur, aber die, auf die eine andere Website noch zeigt, schon, und sie sind zuerst zu behandeln.

Gemischte Inhalte, die Panne danach

Eine über HTTPS ausgelieferte Seite, die ein Bild, ein Skript oder ein Stylesheet über http:// lädt, erzeugt gemischte Inhalte. Browser blockieren die betroffenen Skripte und Stylesheets schlicht und melden den Rest.

Das Symptom verwirrt: Die Seite erscheint, das Layout ist kaputt, und nirgends taucht ein Serverfehler auf. Die Browserkonsole ist der einzige Ort, der es sagt. Deshalb prüft man eine HTTPS-Umstellung Seite für Seite auf den wichtigsten Templates, und nicht nur, indem man schaut, ob das Schloss auf der Startseite grün ist.

HSTS, mit Bedacht einschalten

Der Header Strict-Transport-Security bittet den Browser, für Ihre Domain nur HTTPS zu verwenden, für eine von Ihnen festgelegte Dauer. Das ist eine gute Praxis, und es ist zugleich eine schwer rückgängig zu machende Verpflichtung: Solange die Dauer läuft, kann ein Besucher, der schon einmal da war, Ihre Website nicht mehr über HTTP erreichen, selbst wenn Sie es wollten.

Die vernünftige Methode ist, eine kurze Dauer zu setzen, zu prüfen, dass die gesamte Website und alle Subdomains korrekt über HTTPS antworten, und dann zu verlängern. Das Gegenteil, eine am ersten Tag gesetzte Dauer von einem Jahr, verwandelt ein auf einer Subdomain vergessenes Zertifikat in eine Störung, die niemand umgehen kann.

Und danach muss man es pflegen

Ein Zertifikat ist kein einmaliger Kauf. Es läuft ab, und an dem Tag bekommen Ihre Besucher eine bildschirmfüllende Sperrseite statt einer dezenten Warnung, meist weil eine automatische Erneuerung stillschweigend fehlschlug, Wochen zuvor.

Und diese Störung ähnelt nichts von dem, was Ihre Werkzeuge überwachen: Der Server antwortet, die Website steht, und trotzdem kommt niemand mehr hinein. Für sie gilt derselbe Reflex wie für die ersten fünfzehn Minuten eines Vorfalls, nämlich zu schauen, was ein Besucher bekommt, bevor man schaut, was die Maschine zu liefern glaubt.

Die Umstellung auf HTTPS ist ein Arbeitstag. Es gültig zu halten ist der fortlaufende Teil, und der kostet die Leute tatsächlich Verkehr. Wer die Ein letzter Effekt, den man nur von außen sieht: Jeder Link, den andere Websites Ihnen gegeben haben, zeigt nun auf eine Weiterleitung. Sie funktionieren alle weiter, und sie nehmen alle einen Sprung mehr. Was aus einem Backlink wird, wenn Ihre URLs sich ändern, liest man besser vor der Umstellung als danach.

Wer die Umstellung plant, sollte deshalb im selben Zug entscheiden, wer in zwei Jahren noch prüft, ob das Zertifikat lebt: Diese Frage kostet fünf Minuten am ersten Tag und einen ganzen Tag an dem Tag, an dem niemand sie beantwortet hat.