Jak wymusić https w WordPress?

Aby wymusić HTTPS w WordPressie, najpierw aktywuj certyfikat SSL na hostingu, a następnie ustaw przekierowanie z HTTP na HTTPS. Możesz zrobić to za pomocą jednej wtyczki, takiej jak WP Force SSL, albo ręcznie w pliku .htaccess. Przed zmianami wykonaj kopię zapasową i nie łącz kilku metod przekierowania, ponieważ może to wywołać pętlę przekierowań.

Wymagania przed włączeniem HTTPS

Sam adres zaczynający się od https:// nie wystarczy. Domena musi mieć aktywny certyfikat SSL zainstalowany na serwerze. Może to być certyfikat Let’s Encrypt albo certyfikat komercyjny udostępniony przez hosting.

Sprawdź w panelu hostingu, czy certyfikat jest aktywny. Następnie otwórz stronę pod adresem https://twojadomena.pl. Jeżeli przeglądarka wyświetla błąd certyfikatu, nie włączaj jeszcze przekierowania.

Przed konfiguracją przygotuj:

aktywny certyfikat SSL na hostingu
kopię zapasową plików i bazy danych WordPressa
dostęp do panelu administracyjnego lub FTP

Wymuszenie HTTPS bez działającego certyfikatu może zablokować stronę albo spowodować ostrzeżenia w przeglądarce.

Metoda 1 – wtyczka WP Force SSL

To najprostsza metoda dla osób, które nie chcą edytować plików serwera. Wtyczka przekierowuje adresy HTTP na HTTPS i prowadzi podstawową konfigurację z poziomu WordPressa.

Zaloguj się do panelu WordPressa i przejdź do sekcji Wtyczki.
Wybierz Dodaj nową, wyszukaj WP Force SSL, a następnie kliknij Zainstaluj.
Aktywuj wtyczkę i uruchom jej konfigurację.
Sprawdź, czy adres WordPressa oraz adres witryny używają prefiksu https:// w sekcji Ustawienia → Ogólne.
Otwórz stronę w nowej karcie i sprawdź kilka podstron, panel logowania oraz formularze.

Nie instaluj jednocześnie kilku wtyczek, które wykonują przekierowanie HTTP na HTTPS. Dotyczy to między innymi WP Force SSL, Really Simple Security i Easy HTTPS Redirection. Dwie aktywne reguły mogą wzajemnie się uruchamiać i wywołać błąd ERR_TOO_MANY_REDIRECTS.

Metoda 2 – ręczna konfiguracja w pliku .htaccess

Plik .htaccess służy do konfiguracji serwerów Apache. Zwykle znajduje się w katalogu głównym instalacji WordPressa, obok folderów wp-admin, wp-content i wp-includes. Możesz otworzyć go przez FTP albo Menedżer plików w panelu hostingu.

Najpierw pobierz kopię pliku .htaccess. Następnie dodaj regułę przekierowania przed standardowymi regułami WordPressa:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
</IfModule>

Przekierowanie 301 informuje przeglądarkę i serwer, że adres HTTP został trwale zastąpiony adresem HTTPS. Po zapisaniu pliku wyczyść pamięć podręczną WordPressa, wtyczki cache oraz przeglądarki, a następnie sprawdź stronę.

Ostrzeżenie: błędna edycja pliku .htaccess może spowodować błąd serwera 500 albo całkowicie zablokować dostęp do witryny. Jeśli po zapisaniu pliku strona przestanie działać, przywróć kopię zapasową przez FTP lub panel hostingu.

Serwery Nginx nie korzystają z pliku .htaccess. W takim przypadku przekierowanie trzeba ustawić w konfiguracji serwera albo zlecić je administratorowi hostingu. Nie wklejaj reguł Apache do konfiguracji Nginx.

Gdy po zmianie pojawia się błąd

Najczęstsze problemy po wymuszeniu HTTPS wynikają z konfliktu kilku przekierowań albo z adresów zasobów zapisanych jeszcze jako HTTP.

W przypadku problemów sprawdź następujące rozwiązania:

Zbyt wiele przekierowań – wyłącz dodatkowe wtyczki SSL i sprawdź plik .htaccess pod kątem powielonych reguł.
Brak dostępu do panelu – przez FTP zmień nazwę folderu aktywnej wtyczki SSL w wp-content/plugins/, aby ją wyłączyć.
Mixed Content – znajdź obrazy, arkusze CSS lub skrypty ładowane przez HTTP i zmień ich adresy na HTTPS. Pomocna może być wtyczka SSL Insecure Content Fixer.
Błąd 500 po edycji pliku – przywróć poprzednią wersję .htaccess i skontaktuj się z administratorem serwera, jeśli błąd pozostanie.

Na końcu sprawdź stronę w trybie prywatnym przeglądarki. Przetestuj stronę główną, kilka wpisów, formularz kontaktowy, logowanie i pliki statyczne. Jeżeli wszystkie adresy otwierają się przez HTTPS bez ostrzeżeń, konfiguracja działa prawidłowo.

Najbezpieczniejsza kolejność to aktywny SSL, kopia zapasowa, jedna metoda przekierowania i test całej witryny. Nie uruchamiaj równocześnie kilku wtyczek ani reguł, które wymuszają przejście z HTTP na HTTPS.