HTTPS i bezpieczeństwo sklepu a pozycje w Google – co trzeba wiedzieć

Jak przejść z HTTP na HTTPS bez utraty pozycji

Zmiana protokołu oznacza dla Google zmianę adresów wszystkich stron, czyli przeniesienie witryny. Dokumentacja Google o przenoszeniu witryn ze zmianą adresów zaleca przygotowanie mapy starych i nowych adresów, przekierowania po stronie serwera, aktualizację linków wewnętrznych i zgłoszenie nowej mapy witryny. Przekierowania warto utrzymywać długo, według Google zasadniczo co najmniej rok, a w czasie przenoszenia pozycje mogą się przejściowo wahać.

1. Zainstaluj certyfikat – dla domeny głównej i wszystkich subdomen, które obsługuje sklep, np. wersji z www i bez www.

2. Popraw zasoby na stronach – zdjęcia, skrypty, style i czcionki muszą ładować się przez HTTPS. Treść mieszana, czyli elementy ładowane przez HTTP na stronie HTTPS, może być blokowana przez przeglądarki.

3. Ustaw przekierowania 301 – każdy adres HTTP powinien prowadzić bezpośrednio do odpowiednika HTTPS, bez łańcuchów i bez przekierowań na stronę główną.

4. Zaktualizuj sygnały kanoniczne – tagi canonical, linki wewnętrzne, mapa witryny i dane strukturalne powinny wskazywać adresy HTTPS.

5. Skonfiguruj Search Console – najwygodniejsza jest usługa domenowa, która obejmuje oba protokoły. Zgłoś nową mapę witryny. Jeśli dotąd korzystałeś z usługi z prefiksem HTTP, dodaj nową usługę dla wersji HTTPS, żeby widzieć dane dla nowych adresów.

6. Monitoruj – raport HTTPS, raport indeksowania stron, statystyki indeksowania i ruch w raporcie Skuteczność przez kolejne tygodnie.

Szczegóły dotyczące przekierowań opisujemy w artykule o przekierowaniach 301 w sklepie, a pełną procedurę dla większych zmian w poradniku o migracji sklepu bez utraty pozycji. Jeśli zmiana protokołu zbiega się ze zmianą domeny lub platformy, zaplanuj je razem, żeby nie przenosić sklepu dwa razy.

[#uwaga] Najczęstszy błąd przy przejściu na HTTPS to pozostawienie tagu canonical wskazującego wersję HTTP albo mapy witryny z adresami HTTP. Google dostaje wtedy sprzeczne sygnały i może dalej uważać starą wersję za kanoniczną. Raport HTTPS w Search Console wprost wykrywa takie przypadki, m.in. stronę HTTP oznaczoną jako kanoniczną i mapę witryny wskazującą adresy HTTP.

Jedna wersja sklepu: HTTPS, www i domena

HTTPS to tylko część porządku w adresach. Sklep powinien być dostępny pod jedną, docelową wersją domeny: z www albo bez, zawsze przez HTTPS. Pozostałe warianty, czyli http://, http://www i https:// w drugiej wersji, powinny przekierowywać jednym krokiem na wersję docelową. Google traktuje te warianty jako osobne adresy, a dokumentacja o kanonizacji wymienia różne protokoły i wersje domeny wśród typowych źródeł duplikatów.

Przy podpinaniu własnej domeny do sklepu w modelu abonamentowym warto od razu ustalić wersję docelową i sprawdzić, czy przekierowania działają dla wszystkich wariantów. Przykład konfiguracji opisujemy w artykule o własnej domenie w Shoperze. Po zmianach sprawdź też, czy mapa witryny XML zawiera wyłącznie adresy w wersji docelowej, bo to jeden z sygnałów, z których Google korzysta przy wyborze wersji kanonicznej.

Raport HTTPS w Search Console

Search Console ma osobny raport HTTPS, który pokazuje, ile zaindeksowanych adresów witryny korzysta z HTTP, a ile z HTTPS. Dla adresów HTTP narzędzie sprawdza, czy istnieje odpowiednik HTTPS, i podaje powód, dla którego nie został zaindeksowany. W idealnej sytuacji raport nie pokazuje żadnych adresów HTTP.

Pomoc Google zaznacza, że duża liczba błędów HTTPS może skłonić Google do wstrzymania skanowania stron w wersji HTTPS, a część błędów bywa przejściowa, gdy Google przeskanował wersję HTTP, zanim pojawiła się wersja HTTPS. Dlatego po migracji warto zaglądać do raportu regularnie, a nie tylko raz. Szczegóły dotyczące wskazywania wersji głównej strony opisujemy w artykule o tagu canonical w e-commerce.

Bezpieczeństwo sklepu a widoczność w Google

Znacznie poważniejsze dla SEO niż brak kłódki są problemy z bezpieczeństwem. Według pomocy Search Console Google informuje w raporcie Problemy dotyczące bezpieczeństwa o zhakowanych treściach, złośliwym i niechcianym oprogramowaniu oraz socjotechnice, np. phishingu. Strony dotknięte takim problemem mogą wyświetlać się w wynikach z ostrzeżeniem albo z pełnoekranowym ostrzeżeniem w przeglądarce przy próbie wejścia.

Wykres – problemy z bezpieczeństwem sklepu, które mogą być widoczne w Google, i sposoby ich naprawy. [#chart:se33b]

Po usunięciu problemu w raporcie można poprosić o weryfikację. Pomoc Google wyjaśnia, że rozpatrzenie prośby trwa zwykle od kilku dni do kilku tygodni, a ponowne zgłaszanie prośby przed otrzymaniem decyzji lub zgłaszanie jej, gdy problem nie został usunięty, może wydłużyć kolejne rozpatrzenie. Jeśli problem polega na spamie dodanym przez włamywacza, procedura jest zbliżona do tej, którą opisujemy w artykule o ręcznych działaniach i karach od Google.

• Aktualizacje – oprogramowanie sklepu, wtyczki i szablony w aktualnych wersjach, zwłaszcza w sklepach open source.

• Dostępy – silne hasła, weryfikacja dwuetapowa i osobne konta dla pracowników i agencji zamiast jednego wspólnego logowania.

• Kopie zapasowe – regularne i przechowywane poza serwerem sklepu.

• Kontrola zmian – nagły wzrost liczby zaindeksowanych stron o dziwnych adresach to częsty sygnał włamania.

• Powiadomienia z Search Console – adres e-mail właściciela usługi, który ktoś realnie czyta.

[#przyklad] Sklep na WooCommerce zauważa w raporcie Skuteczność nowe zapytania niezwiązane z ofertą, np. nazwy leków i gier hazardowych, a w raporcie indeksowania stron tysiące nowych adresów. To typowy obraz włamania, w którym atakujący dodaje spamerskie podstrony. Sklep aktualizuje wtyczki, zmienia hasła, usuwa dodane pliki i strony, sprawdza raport Problemy dotyczące bezpieczeństwa i zgłasza prośbę o weryfikację. Ruch wraca stopniowo, gdy Google ponownie przeskanuje witrynę.

W sklepach na platformach abonamentowych za bezpieczeństwo serwera odpowiada dostawca, ale konta użytkowników, uprawnienia i aplikacje zależą od właściciela sklepu. Dobre praktyki dla jednej z popularnych platform opisujemy w artykule o bezpieczeństwie sklepu na Shoperze.

Najczęstsze błędy związane z HTTPS w sklepie

• Dwie wersje sklepu dostępne równolegle – HTTP i HTTPS albo z www i bez www bez przekierowań.

• Treść mieszana – zdjęcia lub skrypty ładowane przez HTTP na stronach HTTPS.

• Przekierowania tymczasowe zamiast stałych – kod 302 zamiast 301 przy trwałej zmianie protokołu.

• Wygasły certyfikat – brak automatycznego odnawiania i ostrzeżenie w przeglądarce.

• Stare adresy w kampaniach i feedach – linki w reklamach, newsletterach i plikach produktowych nadal prowadzą do HTTP.

[#checklista] Ważny certyfikat dla wszystkich domen sklepu; automatyczne odnawianie certyfikatu; przekierowania 301 z HTTP na HTTPS i do jednej wersji domeny; brak treści mieszanej; canonical, mapa witryny i dane strukturalne z adresami HTTPS; usługa domenowa w Search Console; raport HTTPS bez adresów HTTP; raport Problemy dotyczące bezpieczeństwa bez zgłoszeń; aktualne oprogramowanie i silne dostępy; kopie zapasowe poza serwerem.

Najczęściej zadawane pytania

Czy certyfikat SSL poprawia pozycje w Google?

HTTPS jest sygnałem rankingowym od 2014 roku, ale Google od początku określał go jako bardzo lekki i mniej ważny niż jakość treści. Dziś prawie wszystkie sklepy mają HTTPS, więc nie daje on przewagi, a jego brak może zaszkodzić zaufaniu klientów.

Czy przejście na HTTPS może obniżyć ruch?

Przejściowe wahania są możliwe, bo dla Google to przeniesienie witryny ze zmianą adresów. Przy poprawnych przekierowaniach 301, zaktualizowanych linkach, tagach canonical i mapie witryny ruch zwykle stabilizuje się po pewnym czasie.

Jak długo utrzymywać przekierowania z HTTP na HTTPS?

Dokumentacja Google o przenoszeniu witryn zaleca utrzymywanie przekierowań zasadniczo co najmniej przez rok. W praktyce przy zmianie protokołu najlepiej utrzymywać je bezterminowo, bo stare linki do sklepu będą istnieć w sieci przez lata.

Co zrobić, gdy Google oznaczył sklep jako niebezpieczny?

Otwórz raport Problemy dotyczące bezpieczeństwa w Search Console, usuń wszystkie wskazane problemy na wszystkich stronach, zabezpiecz dostęp do sklepu i poproś o weryfikację, opisując wprowadzone poprawki. Rozpatrzenie trwa zwykle od kilku dni do kilku tygodni.

Czy w Search Console trzeba dodać osobno wersję HTTPS?

Najprościej dodać usługę domenową, która obejmuje wszystkie protokoły i subdomeny. Jeśli korzystasz z usług z prefiksem adresu, wersja HTTPS wymaga osobnej usługi.

Czy darmowy certyfikat SSL wystarczy dla sklepu?

W dokumentacji Google nie ma rozróżnienia między rodzajami certyfikatów w kontekście wyszukiwarki. Liczy się, żeby certyfikat był ważny, obejmował wszystkie domeny sklepu i był automatycznie odnawiany. Wybór rodzaju certyfikatu to raczej kwestia wymagań technicznych i biznesowych niż SEO.

Podsumowanie

HTTPS jest dla Google lekkim sygnałem rankingowym i elementem dobrego doświadczenia na stronie, ale w sklepie jego znaczenie wykracza daleko poza pozycje: chroni dane klientów i buduje zaufanie. Największe ryzyko dla SEO to nie brak kłódki, lecz źle przeprowadzona migracja na HTTPS i problemy z bezpieczeństwem, takie jak włamania czy złośliwe oprogramowanie. Pilnuj przekierowań, sygnałów kanonicznych, certyfikatu i raportów w Search Console, a dostęp do sklepu zabezpiecz tak samo starannie jak kasę.

Jeśli planujesz migrację na HTTPS albo chcesz sprawdzić, czy twój sklep nie traci widoczności przez problemy techniczne, zobacz, jak prowadzimy SEO dla sklepów internetowych.