Sie können Nicht-HTTPS-Seiten, die in Google indexiert sind, finden, indem Sie den site:-Operator mit dem Befehl -inurl:https kombinieren. Durch die Eingabe von ‘site:yourdomain.com -inurl:https’ in die Suchleiste weisen Sie die Suchmaschine an, nur jene Seiten auf Ihrer Domain anzuzeigen, denen das sichere Protokoll in ihrem indexierten URL-String fehlt. Diese direkte Methode hilft Ihnen, Ihre Seitensicherheitskonfiguration zu prüfen, ohne dass eine Crawling-Software von Drittanbietern erforderlich ist.
Die Identifizierung dieser Seiten ist der erste Schritt, um Ihre Besucher vor Mixed-Content-Warnungen zu schützen. Wenn ein Browser eine HTTPS-Seite lädt, aber Ressourcen wie Bilder oder Skripte von einer HTTP-Quelle zieht, löst dies einen Sicherheitsalarm aus. Die Verwendung von Google-Suchbefehlen ermöglicht es Ihnen, genau das zu sehen, was die Suchmaschine sieht, und bietet eine klare Liste von URLs, die sofortige Aufmerksamkeit erfordern.
Warum indexiert Google Nicht-HTTPS-Seiten?
Google indexiert Nicht-HTTPS-Seiten, wenn Ihre Serverkonfiguration es versäumt, unsichere Anfragen auf ihre sicheren Gegenstücke umzuleiten. Selbst wenn Sie ein SSL-Zertifikat installiert haben, können unsachgemäße serverseitige Regeln oder inkonsistente interne Verlinkungen dazu führen, dass beide Versionen einer Seite im Index existieren. Suchmaschinen behandeln diese als eigenständige Einheiten, es sei denn, Sie definieren explizit die kanonische Quelle.
In einer typischen Serverkonfiguration stammen Konfigurationsfehler oft von Legacy-Dateien. Wenn Ihre Seite über mehrere Jahre gewachsen ist, haben Sie möglicherweise alte Ordner oder Unterverzeichnisse, die nie so konfiguriert wurden, dass sie SSL erzwingen. Diese Seiten bleiben über Port 80 verfügbar, und da sie zugänglich sind, verifiziert der Google-Crawler sie weiterhin als gültigen Inhalt und behält sie zusammen mit ihren sicheren Alternativen im Index.
Ein weiterer Grund für dieses Verhalten ist das Vorhandensein von hartcodierten Links. Wenn Ihre interne Verlinkungsstruktur auf ‘http://example.com’ anstelle des relativen Pfads oder der ‘https’-Version zeigt, werden Crawler diesen Pfaden folgen und sie entsprechend indexieren. Selbst mit einer 301-Weiterleitung könnte die ursprüngliche HTTP-Version in den Suchergebnissen bestehen bleiben, bis der Crawler die gesamte Seitenstruktur erneut verarbeitet hat.
Wie man ein Audit mit Suchoperatoren durchführt
Um diese Seiten zu identifizieren, sollten Sie einen systematischen Ansatz zur Abfrage Ihrer eigenen Seite verfolgen. Beginnen Sie damit, potenzielle unsichere URLs zu isolieren und überprüfen Sie dann deren Statuscodes manuell. Das Ziel ist es, Ihren Index von diesen Einträgen zu bereinigen, um sicherzustellen, dass Benutzer immer verschlüsselten Inhalt erhalten und die Integrität des Sicherheitsprofils Ihrer Seite zu wahren.
- Verwenden Sie ‘site:yourdomain.com -inurl:https’ in der Google-Suchleiste, um alle aktuell indexierten Seiten ohne das sichere Protokoll aufzulisten.
- Verwenden Sie ‘site:yourdomain.com inurl:http’, um spezifische HTTP-Vorkommen zu finden, die möglicherweise Mixed-Content-Probleme verursachen.
- Überprüfen Sie Ihre robots.txt-Datei, um sicherzustellen, dass Sie nicht versehentlich HTTPS-Versionen vom Crawling ausschließen.
- Überprüfen Sie, ob Ihre .htaccess- oder Nginx-Konfiguration eine dauerhafte 301-Weiterleitung für den gesamten eingehenden HTTP-Verkehr enthält.
Wenn Sie dieses Audit durchführen, seien Sie darauf vorbereitet, auch Ihre Subdomains zu untersuchen. Oft ist die Hauptseite sicher, aber eine vergessene Testumgebung oder eine Legacy-Blog-Subdomain auf einem anderen Server könnte immer noch Inhalte über HTTP bereitstellen. Verwenden Sie den Befehl ‘site:subdomain.yourdomain.com -inurl:https’, um diese Bereiche gezielt zu überprüfen.
Wie Alien Road diesen Prozess anwendet
Bei Alien Road behandeln wir Sicherheitsaudits als das Fundament jedes technischen Engagements. Wenn wir einen Kunden an Bord holen, führen wir eine manuelle Suchindex-Überprüfung durch, bevor wir größere technische Audits einleiten. Wir suchen nach Diskrepanzen zwischen der beabsichtigten Seitenstruktur und dem, was Google tatsächlich in den Suchergebnissen anzeigt, um sicherzustellen, dass keine veralteten unsicheren Seiten die Autorität der Seite verwässern.
Durch die Einführung von Nähe-Beschränkungen gewinnen Suchprofis die Fähigkeit zu untersuchen, wie eng verwandte Konzepte innerhalb eines Artikelkörpers oder einer Überschriftenstruktur beieinander liegen.
Google Search Central
Zum Beispiel entdeckten wir während eines kürzlichen Audits für einen Einzelhandelskunden, dass ihr Bild-CDN immer noch HTTP-Endpunkte für ältere Produktgalerien verwendete. Durch die Verwendung von Suchoperatoren identifizierten wir, dass Dutzende dieser Galerie-Seiten als unsicher indexiert waren. Wir stellten dem Kunden eine direkte Liste dieser URLs zur Verfügung, was es ihren Entwicklern ermöglichte, die Link-Referenzen zu aktualisieren und eine globale Weiterleitungsregel anzuwenden, die die Mixed-Content-Fehler innerhalb von zwei Wochen nach dem nächsten Crawl-Zyklus bereinigte.
Was sind die Risiken, wenn man Mixed Content ignoriert?
Das Ignorieren von Mixed Content führt zu Browser-Warnungen, die Besucher davon abhalten, mit Ihrer Seite zu interagieren. Browser wie Chrome markieren HTTP-Seiten als ‘Nicht sicher’, was zu höheren Absprungraten führen kann. Darüber hinaus bevorzugen Suchmaschinen HTTPS als Ranking-Signal, daher ist die Aufrechterhaltung eines sicheren Index eine Voraussetzung für moderne Leistung.
- Verringertes Nutzervertrauen aufgrund anhaltender Browser-Sicherheitswarnungen.
- Verlust von Referral-Daten, wenn Benutzer von HTTPS-Seiten zu Ihren HTTP-Seiten wechseln.
- Inkonsistente Leistung bei Suchranking-Metriken, verursacht durch Duplicate-Content-Signale.
- Erhöhte Anfälligkeit für Cross-Site-Scripting oder Datenabfang auf unverschlüsselten Seiten.
Diese Probleme sind nicht nur theoretisch. Wenn ein Benutzer auf einer HTTP-Seite landet, die eigentlich sicher sein sollte, sieht er möglicherweise eine Warnung ‘Verbindung ist nicht privat’. Dies ist ein sofortiges Abschreckungsmittel, das die meisten Benutzer dazu bringt, die Seite sofort zu verlassen. Indem Sie regelmäßig nach diesen Seiten suchen, verhindern Sie, dass diese negativen Nutzererfahrungen Ihren Markenruf beeinträchtigen.
Wo man diese Woche anfangen sollte
Beginnen Sie Ihr Audit diese Woche, indem Sie den ‘site:’-Suchbefehl für Ihre Domain ausführen. Erstellen Sie eine Liste jeder HTTP-URL, die in den Ergebnissen erscheint. Sobald Sie diese Liste haben, aktualisieren Sie Ihre Servereinstellungen, um diese spezifischen Pfade auf HTTPS umzuleiten. Wenn Sie eine große Seite haben, konzentrieren Sie sich zuerst auf Ihre leistungsstärksten Seiten, um sicherzustellen, dass Ihr wichtigster Inhalt sofort sicher ist.
Nach der Implementierung der Weiterleitungen überprüfen Sie die Änderungen, indem Sie auf die alten HTTP-Links klicken. Wenn Ihr Server korrekt konfiguriert ist, sollten Sie automatisch zur HTTPS-Version weitergeleitet werden. Führen Sie ein Protokoll Ihrer Ergebnisse und führen Sie den Suchoperator in sieben Tagen erneut aus, um zu bestätigen, dass Google begonnen hat, die unsicheren Versionen aus seinem Index zu entfernen.