«HTTP» auf HTTPS umleiten

[cumulonimbus8]

Liebe Freunde!

Ich würde hier nicht trollen (zu Deutsch Mist schreiben) wenn nicht einfachste Beobachtungen mit eigenen Augen meine Thesen und Probleme bestätigten.

Es geht nicht um eine technische sichere Verbindung sondern darum, dass ein tumber User diesen Zustand nicht in de Adressleiste zu sehen bekommt wenn er nicht zu diskutierende Links aktiv eintippt/einkopiert.

Das ist keine Web-Struktur mit einem einfachen Eingangstor um etwas zu besichtigen, da laufen andere Sachen, speziell auf den WIN-Servern (die übrigens erst über URL-ReWrite so freundlich waren normal weiterzuleiten).

Besagte tumbe User können Kunden sein denen man meldete sehr wohl ein Zertifikat zu besitzen, aber auch direkte Links an die Hand gibt.

CN8

 

[Mihawk90]

dass ein tumber User diesen Zustand nicht in de Adressleiste zu sehen bekommt wenn er nicht zu diskutierende Links aktiv eintippt/einkopiert

Das stimmt aber nicht.

Ich nehme mir mal die Freiheit deine Browser/Server Unterhaltung zu zitieren, denn die war völlig korrekt und damit widersprichst du dir selbst:

Browser bekommt die Daten und denkt sich: „Yeah, ein Zertifikat, geil, das überprüfe ich doch gleich mal ... (denk) ... puh, und auch noch die Daten, endlich hab ich was, ok, jetzt noch render uns so. BÄM!“

User denkt: „Tolle Webseite hab ich hier aufgerufen, das ging ja ruck zuck, und ein grünes Schlösschen ist auch noch da, total sicher ey, dieses google.de“.

Optisch (und eigentlich auch technisch) macht es für den Endnutzer keinen Unterschied ob er nun http oder https eintippt, solange die Einleitung eingerichtet ist natürlich.

 

[Myron]

Ich nehme mir mal die Freiheit deine Browser/Server Unterhaltung zu zitieren,

... die allerdings nicht vom TE, sondern von einem anderen User stammt

 

[ayngush]

Um das mal abschließend zu klären: Wenn Du produktive Systeme für Unternehmen administrierst und dann hier so einen Auftritt hinlegst bist du für diese Aufgabe absolut nicht geeignet.
Ich empfehle in dem Fall dringend eine Fachkraft dafür zu organisieren und selbst die Finger von den Web-Systemen zu lassen. Das kann aus diversen Gründen, inklusive der Erfüllung der Vorgaben des EU-DSGVO, so nicht von deinem Unternehmen toleriert werden. Das ist keine ordnungsgemäße IT-Administration, die du in diesem Fall ablieferst. Holt euch Unterstützung - und zwar nicht in Webforen, das wird nicht funktionieren.

 

[Mihawk90]

... die allerdings nicht vom TE, sondern von einem anderen User stammt

Oh.. oops, mein Fehler wohl irgendwo was verwechselt.

Aber das Grundprinzip bleibt ja

 

[cumulonimbus8]

@ayngush
Was hat das technische Verhalten von (gehosteten) Servern mit meinen Fähigkeiten zu tun?
Wenn du mir nicht erklären kannst wo ich irre solltest du mir keine Unfähigkeit unterstellen.
Die System liefen & laufen brav seit Jahren. Als HTTPS noch kein Thema war. Zu Zwecken die ich nicht erklären muss. Ausgerechet «dumme User» haben uns dazu veranlasst mit HTTPS anzufangen - und machen kann ich da im Grunde nur das was der Hoster mir zu tun erlaubt. →

Das stimmt aber nicht.

Du kennst die User nicht.
→ Wenn eben solche User das grüne Schlöschen verlangen und es über bestimmte Mechanismen [WIN-Server], die eben nicht die Umleitung ab Root sind, keine sehen bist du der Dumme.

Nun, wie kriegt man den Dummen klug wenn der sagt, dass da keine statischen Sites aufgerufen werden die man mit Umleitung einfach an die Leine nehmen kann?

Und, ich wiederhole mich. wenn ich innerhalb der Domain in Unterordnern direkt aufrufe kommt kein grünes Schloss - selbst wenn das alle sicher ist. Rein eine Frage der Optik.

CN8

 

[Myron]

Bei bestem Willen, wenn du uns nicht einmal den genauen Webserver mitteilst hat das Ganze hier keinen Sinn mehr.
Die Technik zum Umleiten von HTTP auf HTTPS funktionieren einwandfrei, sofern sie denn richtig konfiguriert sind. Wenn du nicht endlich spezifisch wirst was das System angeht kann man dir nicht helfen.

 

[ayngush]

Statisch oder dynamisch, Windows IIS oder Linux Apache/Nginx, hosting Angebot oder eigener Server, das spielt dabei alles überhaupt keine Rolle, das kapierst du nur eben einfach nicht.

Das die User euch zur ordnungsgemäßen IT-Organisation "erziehen" müssen sagt schon sehr viel aus.
HTTPS "macht" man auch nicht wegen farbigen Symbolen, die demnächst ohnehin verschwinden.

 

[cumulonimbus8]

wenn du uns nicht einmal den genauen Webserver

Virtuelle WIN-Server 2008 und 2012 bie 1&1 und Strato.
Alle gehosteten andere Webspace-Server-Pakete bei 1&1.

Zertifikate vorhanden und funktionieren. Direkte Weiterleitung in der Root (Regeln bei WIN, .htaccess bei 2 gehosteten Domains) klappt.

Den Rest der sich nicht so benimmt hatte ich beschrieben. Aber ich tut es gerne noch mal.
https://www.domain.de/bild.jpg - keine Frage.
http://www.domain.de/bild.jpg - Umleitung.
www.domain.de/bild.jpg - keine im Browser sichtbare Unleitung, kein grünes Schlosschen.
So weit die gehosteten Domains.

Bei den WINs wird (jeweils) eine bestimmte EXE (!) über einen Deep-Link angesprochen.
http://www.domain2.de/cgi-bin/SSWEB95.EXE?f=XXXX+YYYYYYYYYYYYYYYYYYYYYY
was die ›alte‹ Schreibweise ist die nicht umzuleiten geht (weil hier innert Fiels von Fiel zu File diese alte Schreibeweise vodiert ist und wir nicht unbedingt über Tausend Files ämdern wollen & können), mit https:// eingeleitet ist alles im grünen Bereich.

Es geht um das Verhalten der normalen Server die die Website(s) halten. Bei den WINs könnten wir uns zu Reparaturen hinreißen lassen. Aber was machen wir bei den gehosteten Sites? bild.jpg liegt bequem und gesund neben der .htaccess.
Und nun?

CN8

 

[MisC]

http://www.domain.de/bild.jpg - Umleitung.
www.domain.de/bild.jpg - keine im Browser sichtbare Unleitung, kein grünes Schlosschen.

Da kann irgendwas nicht stimmen und zwar mit dem von dir geschriebenen. Der Browser macht aus "www.domain.de/bild.jpg" selbstständig "http://www.domain.de/bild.jpg". Das hat mit dem Server absolut nichts zu tun. Hast du hier evtl. in einem der Beispiel einen Pfad vergessen?

weil hier innert Fiels von Fiel zu File diese alte Schreibeweise vodiert ist ...

Ähm, ist es zu viel verlangt nochmal Korrektur zu lesen? Ich denke ich weiß was du meinst, aber ernsthaft?

Das Problem, dass die EXE nur http:// Angaben zurück gibt ist natürlich doof. Sofern irgendwie möglich, sollte hier eingegriffen werden damit diese relative URLs zurückgibt. Auch wenn es einmalig viel Arbeit ist.

Alternativ gibt es wohl auch noch diese Lösung:
http://jasonwatmore.com/post/2014/09/25/aspnet-fix-for-https-ssl-insecure-mixed-content-warning

Aber was machen wir bei den gehosteten Sites? bild.jpg liegt bequem und gesund neben der .htaccess.

Wie gesagt irgendwas stimmt mit deinen Beispielen nicht. Korrigiere die Beispiele. Poste den Teil deiner .htaccess der für die Weiterleitung zuständig ist. Beachte, dass die Weiterleitung auf https:// als aller erstes in der .htaccess stehen sollte.

 

[cumulonimbus8]

Da kann irgendwas nicht stimmen und zwar mit dem von dir geschriebenen.

Ich müsste wohl einen Screenshot-Film einstellen… Leider lieferte der Infos die ich hier nicht angeben kann.

Ähm, ist es zu viel verlangt nochmal Korrektur zu lesen? Ich denke ich weiß was du meinst, aber ernsthaft?

Nö, das stimmt so schon. Ein Tool erzeugt auf einer Basis eine Serie von HTM-Files. Das erste wird mit der URL mit den X und Y aufgerufen. In ihm wird das zweite (usw. usw.) über das FORM-Tag ausgelöst in dessen Code noch http steht - neuerdings bauen wir mit https auf. Wir müssten jedes File innert seiner selbst auf https umändern wollten wir eine jede Serie unter Nutzung der WIN-Umleitungsregel (zz. inaktiv) weiterhin benutzen. Bei ›heißen‹ Serien die aktiv sind tue ich das mehr als ungern.
An die EXE kommen wir nicht ran, aber sie kann zum Glück auch mit https.
Die Alternative im Link funktioniert (ja gerade eben) nicht, besagte inaktive Regel (Rule). Die EXE ist da wie ach anderweitig sehr eigen.

Was die .htaccess angeht - ich vermute das verläuft im Sande.

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>

RewriteEngine On
RewriteCond %{SERVER_PORT} !=443
RewriteRule ^(.*)$ https://meinedomain.com/$1 [R=301,L]

# END WordPress

Aus der 1&1-Hexenküche (hat man alles freundlicherweise für mich eingeklebt; Copy-Paste wäre j auch keine Heldentat gewesen). Wenn mich was stört, dann das fehende «www.».