HSTS et double redirection

Je gère un petit site Web dans un environnement LAMP d'hébergement mutualisé: cela signifie essentiellement que la seule chose que je peux modifier est un fichier htaccess.

Je voulais ajouter le support HSTS (et je l'ai fait), mais, lorsque j'ai testé mon site Web ici pour l'éligibilité de la précharge HSTS, j'ai eu l'erreur suivante:

Erreur: HTTP redirige vers www en premier

http://example(HTTP) devrait immédiatement rediriger vers https://example(HTTPS) avant d'ajouter le sous-domaine www. À l'heure actuelle, la première redirection est vers https://www.example.La redirection supplémentaire est requise pour garantir que tout navigateur prenant en charge HSTS enregistrera l'entrée HSTS pour le domaine de niveau supérieur, pas seulement le sous-domaine.

Donc, je suppose que je devrais rediriger les utilisateurs de cette façon:

1. http://example (c'est ce que l'utilisateur entre dans la barre d'adresse de son navigateur)
2. https://example (nous le redirigeons vers la version HTTPS du site)
3. https://www.example (nous le redirigeons à nouveau vers le sous-domaine www)

Ma redirection actuelle se fait de cette façon:

RewriteCond %{SERVER_PORT} 80
RewriteRule ^(.*)$ https://www.example.com/$1 [R,L]

J'ai essayé d'ajouter une redirection avant la dernière ligne, de cette façon:

RewriteRule ^(.*)$ https://example.com/$1 [R,L]

mais j'ai reçu une erreur "la page ne redirige pas correctement" du navigateur.

Alors, quelle est la bonne façon de rediriger un utilisateur de la version http du site Web vers le https et enfin vers le https avec www? Et: y a-t-il des risques?

Comme indiqué dans les exigences de soumission de la liste de préchargement HSTS :

2. Redirigez de HTTP vers HTTPS sur le même hôte, si vous écoutez sur le port 80.

Vous devez rediriger vers le même hôte (c.-à-d. HTTP_HOST), Pas simplement vers le example.compremier. Vous n'avez pas besoin de rediriger vers example.comsi l'utilisateur demande www.example.comdirectement. (Le test impliquera une demande à example.com.) Après cela, vous pouvez rediriger vers le sous-domaine www canonique si nécessaire.

J'ai essayé d'ajouter une redirection avant la dernière ligne, de cette façon:

RewriteRule ^(.*)$ https://example.com/$1 [R,L]

Cela créerait une boucle de redirection, car la RewriteConddirective précédente ne s'applique qu'à la première RewriteRule, donc la seconde RewriteRules'exécuterait sans condition.

Essayez plutôt ce qui suit:

# HTTP to HTTPS redirect
RewriteCond %{SERVER_PORT} 80
RewriteRule (.*) https://%{HTTP_HOST}/$1 [R,L]

# Canonical www redirect
RewriteCond %{HTTP_HOST} !^www\.
RewriteRule (.*) https://www.%{HTTP_HOST}/$1 [R,L]

La HTTP_HOSTvariable serveur contient la valeur de l' Hosten-tête de requête HTTP (c'est-à-dire, quel que soit l'hôte demandé).

La 2e redirection indique ... pour toutes les demandes où l'hôte demandé ne démarre pas, www.puis préfixez www.l'hôte. Cependant, cela peut ne pas être acceptable si vous avez plusieurs sous-domaines (qui se résolvent au même endroit) que vous souhaitez conserver séparés, car ils seront naturellement redirigés vers le sous-domaine www.

Notez qu'il s'agit de 302 redirections (temporaires). Passez à 301 uniquement lorsque vous êtes sûr que cela fonctionne correctement.

Et: y a-t-il des risques?

Aucun risque. Oui, il y a potentiellement deux redirections alors qu'auparavant il ne pouvait y en avoir qu'une (ce qui est sans doute moins efficace). Mais il n'y a toujours que deux redirections, ce qui est parfaitement correct pour le référencement. De plus, avec HSTS, l'agent utilisateur ne connaîtra la redirection double qu'au plus une fois.

RewriteCond %{SERVER_PORT} 80
RewriteRule ^(.*)$ https://www.example.com/$1 [R,L]

En plus: (Ignorant HSTS pour le moment ...) Cela n'aurait pas été complet par lui-même, car il ne canonise pas une demande https://example.com/...(c'est-à-dire HTTPS et l'apex du domaine).

Lectures complémentaires:

• Ma réponse à une question connexe sur Pro Webmasters SE qui donne plus de détails sur la mise en œuvre de HSTS dans .htaccess: https://webmasters.stackexchange.com/a/112264/52912