Захищена адреса проходить через незахищену

Чому це важливо

Google віддає перевагу сторінкам на HTTPS, якщо сигнали не суперечать, і один із тих, які він називає, — сторінка HTTPS, що переспрямовує користувачів на сторінку HTTP або через неї. Він радить уникати переспрямувань із HTTPS на HTTP, бо вони змушують Google дуже сильно віддавати перевагу HTTP, і каже, що HSTS цього не переважить.

Що зробити

Перегляньте зачеплені HTTPS-корені та записані кроки переспрямування, щоб знайти, де з’явився HTTP.
Знайдіть переспрямування на HTTP в панелі хостингу, конфігурації сервера чи CDN.
Переспрямовуйте безпосередньо на бажану HTTPS-адресу.

Що ми читаємо

Спільна перевірка хостів запитує чотири корені: HTTP та HTTPS, з www і без, із реєстрованого домену сайту. HTTPS-запити дотримуються robots.txt кожного джерела; HTTP-корінь використовує HTTPS-політику того самого хоста для /. Перехід дозволено до чотирьох точних коренів або HTTPS-адрес того самого реєстрованого домену, в межах десяти переспрямувань і записаних бюджетів запитів аудиту.

Це правило читає два HTTPS-корені. Спостережене переспрямування на HTTP фіксується, навіть якщо пізніший крок повертається на HTTPS або не вдається. Усі зачеплені корені утворюють одну знахідку сайту. Якщо переходу на HTTP немає, неоцінений HTTPS-корінь залишає результат непідтвердженим; записаний збій сертифіката належить перевірці сертифікатів.

Приклад і докази

Ілюстративний приклад — один сайт, а не реальний аудит.

Сайт — https://bakery.example/. Ми запитуємо https://www.bakery.example/:

GET https://www.bakery.example/
HTTP/1.1 301 Moved Permanently
Location: http://bakery.example/

GET http://bakery.example/
HTTP/1.1 301 Moved Permanently
Location: https://bakery.example/

GET https://bakery.example/
HTTP/1.1 200 OK

Ланцюжок закінчується на https://, але його перший крок вказує на http://, тому сайт фіксується з https://www.bakery.example/ як зачепленою адресою.

Можливе виправлення:

GET https://www.bakery.example/
HTTP/1.1 301 Moved Permanently
Location: https://bakery.example/

Підтвердити й перевірити знову

Перевірте самі: виконайте curl -IL https://www.bakery.example/ зі своєю адресою, з www і без, і перевірте, що жоден рядок Location не починається з http://.

Повторна перевірка: Повний аудит — запустіть аудит, який достатньо повторно перевірить той самий сайт. HTTPS-корені більше не мають проходити через HTTP; потрібні щонайменше одна придатна відповідь 200 і відсутність неперевіреного HTTPS-кореня. Відсутня відповідь, заборона robots.txt чи рукостискання без висновку про сертифікат залишають виправлення непідтвердженим. Сам ліміт сторінок не визначає достатність повторної перевірки цих коренів.

Обмеження та джерела

Перевіряються лише ці кореневі адреси та дозволені переходи з них. Для сайту на shop.bakery.example матриця використовує bakery.example і www.bakery.example. Чужий домен чи HTTP-адреса поза чотирма точними коренями відхиляється, хоча записаний Location усе одно може доводити перехід на HTTP. Якщо початковий HTTPS-доступ до robots.txt не вдається, аудит зупиняється до цих запитів і не створює знахідки цієї перевірки.

Упевненість: Висока, бо кожен крок переспрямування й адреса, на яку він вказує, зчитуються безпосередньо.

Джерела

Google, Як указати канонічну URL-адресу за допомогою rel="canonical" та іншими способами — називає сторінку HTTPS, що переспрямовує на сторінку HTTP або через неї, суперечливим сигналом і каже, що переспрямування з HTTPS на HTTP змушують Google дуже сильно віддавати перевагу HTTP. Перевірено 25 вересня 2026.

Редакційна перевірка: 3 листопада 2026

Версія вашого сайту з http:// не переспрямовує на https:// — версія головної сторінки з http:// відповідає сторінкою, а не доходить до https://.
Сертифікат TLS не вдалося перевірити — там описано знахідки перевірки сертифікатів і межі їхнього покриття.