HTTPs Domain auf andere Domain umleiten

[ntloader]

Servus!

Ich habe eine Frage zum Umleiten von Domains. Beim Webspace ist ein SSL Zertifikat für Domain1.de dabei. Das Zertifikat ist richtig eingerichtet und man kann über HTTPS auf Domain1.de zugreifen.
Zudem gibt es noch die Domain2.de. Diese soll auf https://www.domain1.de Umleiten. Funktioniert bei HTTP soweit auch, aber bei HTTPs kommt bei Firefox und anderen Browsern eben die Meldung, dass etwas mit dem SSL Zertifikat nicht passt. Das ist eigentlich korrekt, da das Zertifikat ja nur für domain1.de ist.
Die Fragen wären nun:

• Wie bekomme ich es hin, dass alles was auf domain2.de surft, (egal auf HTTP ode HTTPs) auf https://www.domain1.de umgeleitet wird ohne Warnmeldung?
• Wie bekomme ich es hin, dass bei Aufrufen von http://www.domain1.de automatisch auf https://www.domain1.de umgeleitet wird?

Danke, ntloader

 

[CitroenDsVier]

Wie bekomme ich es hin, dass alles was auf domain2.de surft, (egal auf HTTP ode HTTPs) auf https://www.domain1.de umgeleitet wird ohne Warnmeldung?

Ich würde das mit einer kleinen index.php lösen:

<?php
    header("Location:https://domain1.de");
?>

Oder habe ich das Problem falsch verstanden?

 

[Kenny [CH]]

In der Regel ist das nicht möglich.

Es gibt mehrere Arten von SSL Zertifikaten wichtig aber ist für welche Domain das Zertifikat ausgestellt ist.

Wenn du ein Cert für die Domain1.de besitzt, wird das Cert nur als gültig erkannt, wenn du auch die Domain1.de benutzt. Für einen korrekten Redirect auf Domain2.de mit HTTPS müsstest du auch ein 2. SSL Certifikat haben.

Etwas anderes wäre, wenn du ein Wildcard Cert hättest. Also *.domain1.de in diesem Fall könntest du diverse Server etc mit dem gleichen Certifikate bestücken, solange sie der Form app.domain1.de folgen.

E: Wie du einen HTTP Redirect einrichten kannst, ist jenach Webserver unterschiedlich, für bessere Hilfe hier müsste ich wissen ob ein IIS, Apache, NGINX etc verwendet wird.
Grundsätzlich einen redirect von http://domain1.de zu https://domain1.de würde ich über die 301-Weiterleitung verwenden: https://seo-summary.de/301-redirect/

Du kannst diesen auch auf deiner domain2.de einrichten mit einem permanentem Redirect auf domain1.de. Ob dieser redirect aber auch funktioniert - also ohne Fehlermeldung im Browser wegen nicht gültigem Cert -, wüsste ich gerade nicht und müsste ich auch selber mal ausprobieren

E2: @CitroenDsVier wäre auch eine möglichkeit, kann aber Auswirkungen auf SEO (Ratings bei Suchmaschinen) haben. Ein 301 Redirect hat keinen Einfluss - z.B. google verwendet diesen selbst wenn man http://google.de aufrufen möchte.

 

[Nixdorf]

Das ist eigentlich korrekt, da das Zertifikat ja nur für domain1.de ist.

Nein, ist es nicht. Der Redirect wird von domain2.de ausgelöst, und dafür muss beim ersten Zugriff zunächst einmalig auf domain2.de zugegriffen werden. Und schon dafür wird auf domain2.de ein zu domain2.de passendes Zertifikat benötigt.

Ob das dann komplett separat eingerichtet ist, oder eigentlich beides im gleichen Webspace liegt, ist unerheblich. Es können zwei getrennte Zertifikate genutzt werden, oder auch eins, bei dem beide Domains als SAN eingetragen sind. Dabei am besten immer gleich auch an www.domain1.de und www.domain2.de denken.

 

[ntloader]

@Nixdorf: Weißt du zufällig ob man bei HostEurope ein Zertifikat mit SAN bekommt? Wahrscheinlich nur wieder gegen Aufpreis vermute ich

 

[Nixdorf]

Haben die kein Interface für Let's Encrypt? Ich selbst verwalte Domains auf einem Dedicated Server mit Plesk, da kann man einfach den Domain-Alias mit in die Liste der zu zertifizierenden Hostnames nehmen und fertig.

Ergänzung (21. Mai 2019)

Falls es kein Interface für Domain-Aliase gibt, hilft es eventuell, domain2.de als vollwertige Domain anzulegen. Es muss kein SAN-Zertifikat sein, es können auch zwei separate für die beiden Domains sein.

 

[ntloader]

Bei Host Europe ist nur 1 Zertifikat inklusive. Für Zertifikate für alle weiteren Domains wollen sie Geld sehen. Let's encrypt wird leider von HE nicht wirklich unterstützt. Muss mir wohl nach einem anderen Hoster schauen.

 

[ChilliSchotte]

Geht es hier um Webspace oder Webserver? Hab irgendwie schon beides gelesen.
Auf letzterem sollte ein Certbot kein Problem darstellen, ansonsten gibts hier auch etwas von HE: https://www.hosteurope.de/blog/lets-encrypt-zertifikat-erstellen/

Aber der Gedankengang ist richtig:
Ein Rewrite in beide Serverblöcke
http://domain2.de:80 -> https://domain1.de:443
https://domain2.de:443 -> https://domain1.de:443

Viele vernachlässigen diese Thematik allerdings auch, da selten jemand eine Webadresse mit https per Hand eintippt. Backlinks auf die zweite Domain wären eher ein Gedanke dort einzugreifen.

 

[Nixdorf]

Viele vernachlässigen diese Thematik allerdings auch, da selten jemand eine Webadresse mit https per Hand eintippt.

Inzwischen gibt es aber auch den Trend zu "HTTPS Everywhere". Noch ist das ein Add-On, aber ich denke, dass langfristig die Browser Eingaben ohne Protokoll von Haus aus zuerst via HTTPS abzuwickeln versuchen.

Ergänzung (22. Mai 2019)

Bei Host Europe ist nur 1 Zertifikat inklusive. Für Zertifikate für alle weiteren Domains wollen sie Geld sehen.

Ugh. Leider ist diese Seuche immer noch nicht tot zu kriegen. Wenn es sehr wenig kosten soll, guck mal bei Netcup. Die bieten zu jeder Domain, die über sie läuft, das Zertifikat von Let's Encrypt kostenlos. Das kleinste Hosting kostet 2€ pro Monat, Dedicated vServer (mit echten Kernen!) gibt es ab 7€ pro Monat. Wenn es ein richtiger Server sein soll, dann bin ich bei Hetzner bisher am besten gefahren.

 

[ChilliSchotte]

Langfristig hast du mit Sicherheit recht und der Trend ist auch begrüßenswert. Stand jetzt gibt es aber noch genug Seiten die über http laufen. Zudem bieten noch nicht alle Hoster kostenfreie Zertifikate an und gerade Mini-Seiten z.B. für Handwerker ohne Datenaustausch benötigen zumindest rechtlich keins.

 

[Nixdorf]

Es passiert auch eher stufenweise:

• Als die Browser anfingen, bei Login-Formularen, die unverschlüsselt verschickt werden, dicke Warnhinweise einzublenden, gab es einen Aufschrei bei den Nutzern. Das erzeugt dann Druck auf Seitenbetreiber, auf HTTPS umzustellen.
• Zusätzlich wird die Markierung für HTTP im Bereich der Adressleiste immer negativer. Inzwischen schreibt Chrome "Nicht sicher" dran. Bei Firefox gibt es eine ähnliche Entwicklung. Das wird in Zukunft noch auffälliger werden, mit dicken roten Markierungen.
• Dann hat Let's Encrypt mit der Verfügbarkeit kostenloser Zertifikate einen positiven Schub gegeben.
  Was aktuell hier noch nervt, ist die kurze Laufzeit der Zertifikate, denn Seitenbetreiber, bei denen der Hoster Wegelagerei betreibt, haben so nicht den Anreiz, sich das Zertifikat z.B. über einen PHP-basierten ACME-Client zu holen, weil sie dann die Zertifikatsdateien jedesmal manuell herunterladen und ins Webinterface des Hosters übertragen müssen, falls es überhaupt eins gibt.
• Dann gab es die Einführung von HTTP/2. Das funktioniert gar nicht mehr ohne HTTPS. Wer dessen Performance-Plus nutzen will, der muss also gezwungenermaßen umstellen.

So kommt ein Stein zum anderen.

 

[ChilliSchotte]

Wie gesagt stimme ich dir ja dabei voll und ganz zu. Sehe https only leider eher noch 2-3 Jahre entfernt.
http2 wird auch erst von einem 3tel aller Websites genutzt (laut w3techs).

Sogar google selbst hat prozentual 2018 mehr https Dienste am Start gehabt als jetzt(05.19).
Für den oben von mir genannten Fall hat https leider einfach noch keinen wirklichen Vorteil, weder für den Nutzer noch für den Betreiber. Zumindest keinen für jemanden der ohne KnowHow dies nun einstellen müsste und diesen Aufwand relativiert.

Google doch an deinem Handy mal nach regionalen Handwerkern oder anderen Dienstleistern, viele haben kein https (ohne Form auch nicht verpflichtend). Die Warnhinweise halten sich bei mobilen Browsern leider auch in Grenzen.

Aber wir schweifen ab