Přejít na obsah

AktuálněKritické chyby v PHP a Node.js z 21. 10. Týkají se i vás?Otestovat verzi

Tegmia
Ověřit

Kontrola přesměrování z HTTP na HTTPS

Jak ověřit, že se web vždy přesměruje na HTTPS?

Krátká odpověď

Stačí poslat jeden požadavek na http:// a podívat se, co přijde zpátky: musí to být přesměrování na adresu, která začíná https://. Tegmia to tak dělá a přesměrování záměrně nenásleduje — právě ta první odpověď je to, co se měří. Pokud server na nezabezpečeném spojení obsah vydá, nebo pošle návštěvníka na jinou nezabezpečenou adresu, hlásíme to jako nález s vysokou závažností.

Patří do kontroly Hlavičky a konfigurace HTTPS.

Co to je

Kdo napíše adresu bez „https://“, připojí se nejdřív nezabezpečeně. Na veřejné wi-fi jde takový provoz odposlechnout i změnit, a než prohlížeč dostane přesměrování, odešlou se v požadavku i cookies bez příznaku Secure.

Přesměrování má být trvalé (301 nebo 308) a má platit pro celou doménu včetně varianty s www. Dočasné přesměrování si prohlížeče nepamatují.

Přesměrování samo mezeru nezavře úplně. To dělá až HSTS, které prohlížeči řekne, aby se o nezabezpečené spojení nepokoušel vůbec.

Jak to Tegmia měří

Co kontrola skutečně dělá, s prahy, na kterých hlásí nález.

  • Pošleme jeden požadavek GET na http://<vaše doména>/ a přesměrování nenásledujeme.
  • Odpověď bereme jako správnou, když má stav 3xx a hlavička Location vede na adresu s protokolem https.
  • Jinak hlásíme http.no_https_redirect a do důkazu dáme stav odpovědi a hodnotu Location, kterou jsme dostali.
  • Server, který nezabezpečené spojení odmítne, je v pořádku a nic nehlásíme.
  • Když spojení vyprší nebo se přeruší, adresa se nepřeloží nebo server odpoví chybou či odmítnutím (5xx, 401, 403, 407, 408, 425, 429), odpověď nemáme a nepředstíráme ji: dřívější zjištění necháme, jak je.
  • Na straně HTTPS pak sledujeme celý řetěz přesměrování a ukládáme ho jako důkaz. Každý skok znovu ověřujeme, maximum jsou čtyři.

Co tím nezměříme

  • Měříme doménu, kterou jste zadali. Variantu s www nebo bez www zkontrolujeme jen tehdy, když ji přidáte jako samostatnou doménu.
  • Testujeme úvodní stránku. Jednotlivá sekce webu může mít přesměrování nastavené jinak.
  • Port 80, na kterém firewall spojení tiše zahazuje, nerozlišíme od výpadku. Dřívější http.no_https_redirect se pak samo nevyřeší, i když server nezabezpečené spojení už nepřijímá.

Co z toho může vzejít za zjištění

Přímo z katalogu. Stejný text uvidíte i v hlášení.

HTTP se nepřesměrovává na HTTPS

Vysoké

http.no_https_redirect · Hlavičky a konfigurace HTTPS

Kdo napíše adresu bez https, komunikuje nezabezpečeně. Na veřejné Wi-Fi jde takový provoz odposlechnout i změnit.

Co udělat: Nastavte na serveru trvalé přesměrování (301) z http:// na https:// pro celou doménu včetně varianty s www.

Výchozí závažnost vysoké: Naplánujte do týdne. Výrazně zvyšuje šanci na úspěšný útok. Celé pravidlo v katalogu

Typická chybná konfigurace

Přesměrování nastavené jen na jedné variantě domény. „vasedomena.cz“ přesměrovává správně, „www.vasedomena.cz“ zůstane na HTTP — nebo naopak. Vzniká to tím, že se pravidlo zapíše pro jeden virtuální host a druhý ho nezdědí.

Druhá situace: přesměrování vede na https:// jiné adresy, než na kterou uživatel šel, například vždy na úvodní stránku. Odkaz na konkrétní stránku pak skončí jinde a vyhledávače to čtou jako dvě různé URL.

Jak to opravit

Konkrétní kroky v pořadí, ve kterém mají smysl.

  1. 01Vyzkoušejte v příkazové řádce obě varianty: požadavek na http://vasedomena.cz/ a na http://www.vasedomena.cz/. U obou se podívejte na stav a Location.
  2. 02Nastavte trvalé přesměrování (301) pro celou doménu, včetně varianty s www, a zachovejte cestu — nepřesměrovávejte všechno na úvodní stránku.
  3. 03Ověřte, že se přesměrování netýká cesty „/.well-known/acme-challenge/“, kterou používá obnova certifikátu.
  4. 04Až přesměrování funguje na všech variantách, doplňte HSTS. V opačném pořadí si koledujete o nedostupný web.

Jak to vypadá

Hodnoty tak, jak je zapíšete nebo uvidíte.

Správná odpověď na nezabezpečený požadavek

HTTP/1.1 301 Moved Permanently
Location: https://vasedomena.cz/

Zkontrolovat to na své doméně

Čteme jen to, co doména zveřejnila.

Sken přečte veřejné záznamy a konfiguraci domény a ukáže výsledek téhle kontroly u vás, včetně důkazu, ze kterého jsme vycházeli.

Zkontrolovat doménuCo všechno kontrolujeme

Situace, které to řeší

Související kontroly

Co se k tomu váže a dělá se obvykle spolu.

  • Kontrola HSTS

    Co hlavička Strict-Transport-Security zavírá za mezeru, jakou hodnotu max-age čekáme a kdy HSTS nezapínat.

  • Kontrola bezpečnostních hlaviček

    Hlavičky, které čteme z odpovědi vašeho webu, co každá z nich řeší a v jakém pořadí je zavádět.

  • Kontrola SSL certifikátu

    Co se dá o certifikátu zjistit jedním TLS spojením: vydavatel, doménová jména, síla klíče, verze protokolu.

Naposledy upraveno 3. listopadu 2026. Stránku píšeme ručně a opravujeme ji, když se změní to, co měříme. Našli jste tu chybu? Napište na kontakt.