Bezpečnost a SEO: HTTPS, HSTS a smíšený obsah

Bezpečnost a SEO: proč HTTPS, HSTS a mixed content přímo ovlivňují výkon a hodnocení

Technické SEO dnes není pouze o rychlosti a indexaci. Stav zabezpečení webu přímo ovlivňuje crawling, hodnocení, důvěru uživatelů, metriky zapojení a nakonec i konverze. Klíčovými prvky jsou HTTPS (TLS), HSTS a eliminace mixed content. Tento článek vysvětluje, jak je správně nastavit, proč to zlepšuje SEO a výkon, a na co si dát pozor při migraci a provozu.

HTTPS v kostce: co reálně přináší pro SEO a výkon

Důvěrnost a integrita: HTTPS šifruje přenosy a chrání je před odposlechem a manipulací.
Signál pro hodnocení: HTTPS představuje dlouhodobě mírný pozitivní signál pro vyhledávače; nekvalitní obsah nezachrání, ale za stejných podmínek může rozhodnout.
Moderní protokoly = rychlost: TLS 1.3 a HTTP/2/HTTP/3 snižují latenci a zlepšují paralelismus načítání, což může příznivě ovlivnit Core Web Vitals (zejména FCP a LCP).
Prohlížeče: Bez HTTPS zobrazují prohlížeče varování „Not secure“, což snižuje důvěru a zvyšuje míru opuštění stránky.

Certifikáty a TLS: praktická doporučení

Typ certifikátu: DV (Domain Validation) je plně dostačující pro SEO a většinu projektů; EV/OV nepřinášejí SEO výhodu.
Automatizace: Použijte ACME klienta (např. Let’s Encrypt) a automatické obnovování certifikátů. Nastavte monitoring expirace.
TLS verze a šifry: Povolit TLS 1.2 a TLS 1.3. Zakázat zastaralé verze (TLS 1.0/1.1). Preferovat moderní šifrovací sady s AEAD.
OCSP stapling: Aktivujte ho pro rychlejší ověření platnosti certifikátu.
HTTP/2 a HTTP/3: Zapněte je v CDN nebo na serveru (ALPN, QUIC). Obvykle přinášejí lepší latenci a propustnost.

HSTS: tvrdé prosazování HTTPS a jeho vliv na SEO

HSTS (HTTP Strict Transport Security) říká prohlížeči, že váš web se má načítat pouze přes HTTPS. Minimalizuje riziko downgrade útoků a zvyšuje konzistenci protokolu, což pomáhá i SEO (zabraňuje náhodnému míchání protokolů a duplicitám).

Doporučený header: Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

max-age: Doporučuje se alespoň 31536000 (1 rok).
includeSubDomains: Aplikuje pravidlo na všechny subdomény (vyžaduje připravenou infrastrukturu).
preload: Umožňuje zapsat doménu do preload seznamu prohlížečů (prohlížeč vynutí HTTPS ještě před první návštěvou). Tento krok proveďte až když máte 100 % HTTPS na celé doméně i subdoménách.

SEO aspekt: HSTS zvyšuje konzistenci kanonické schématu (https://), snižuje riziko indexace HTTP variant a zlepšuje stabilitu signálů (interní prolinkování, odkazy, sitemapy).

Mixed content: co to je a proč škodí

Mixed content nastává, když stránka načtená přes HTTPS vkládá zdroje přes http:// (obrázky, skripty, styly, videa, fonty). Prohlížeče:

blokují aktivní obsah (skripty, styly, iframy), což narušuje funkčnost a layout, vede k chybám renderingu a horším metrikám Core Web Vitals,
varují při pasivním obsahu (obrázky), což snižuje důvěru a může negativně ovlivnit míru prokliků a konverze.

Pro SEO je mixed content toxický: způsobuje chyby při renderování, snižuje kvalitu obsahu v očích uživatele, může bránit indexaci některých prvků (např. JavaScriptem generované navigace či produkty).

Detekce a oprava mixed contentu

Konzolové hlášení: Otevřete DevTools → Console/Network a vyhledejte „Mixed Content“ chyby.
Prohledávače: Proveďte integrační crawly (např. v SEO nástrojích) s povoleným JavaScript renderingem a hledejte http:// reference.
Audit kódu: Hledejte hardcoded http:// v šablonách, CSS, JS, nastavení CMS a uloženém obsahu (WYSIWYG).
CDN a média: Zkontrolujte URL v asset pipeline, obrázkových CDN, video embedech a externích widgetech.
Oprava: Nahraďte odkazy http:// za https://. Nepoužívejte „protokol-relativní“ URL (např. //example.com) – raději explicitně https:// kvůli konzistenci a bezpečnosti.

CSP a „upgrade-insecure-requests“ jako pojistka

Content Security Policy (CSP) může automaticky upgradovat nebezpečné URL:

Content-Security-Policy: upgrade-insecure-requests

Užitečné při migraci – prohlížeč se pokusí načíst zdroje přes HTTPS.
Není náhradou za poctivou opravu všech odkazů v kódu a datech.

Migrace na HTTPS bez ztráty SEO signálů

Příprava infrastruktury: Certifikát, TLS 1.2/1.3, HTTP/2/3, OCSP stapling, HSTS (bez preload v prvním kroku).
Trvalá přesměrování: 301 z http:// na https:// na úrovni hostitele i cesty. Zachovejte parametry a trailing slash.
Kanonikalizace: <link rel="canonical" href="https://www.priklad.cz/..."> musí směřovat na HTTPS verzi.
Interní odkazy: Aktualizujte všechny interní URL na https:// včetně navigací, sitemap a datových feedů.
Sitemap(y): Uveďte pouze HTTPS URL. Aktualizujte robots.txt odkaz na sitemapu.
Hreflang: Všechny jazykové a regionální mapování musí používat HTTPS a být vzájemně konzistentní.
Externí integrace: Reklamní systémy, analytika, tag manager, platební a logistické brány – ověřte HTTPS endpointy.
Search Console: Přidejte a ověřte HTTPS property (včetně variant s a bez www, pokud se používají).
Monitoring: Sledujte chyby crawl-u (4xx/5xx), přesměrovací řetězce, LCP/CLS, konverze a případné mixed content hlášení.
HSTS preload: Po úplném ověření nasazení zvažte includeSubDomains; preload a podání do preload seznamu.

Výkon: HTTPS už není „pomalejší“

Moderní TLS je optimalizovaný. TLS 1.3 přináší kratší handshake a méně round-tripů. V kombinaci s HTTP/2 nebo HTTP/3 se snižuje latence a zlepšuje multiplexing. Výsledek: v praxi je HTTPS stejně rychlé nebo rychlejší než nešifrovaný HTTP, zejména přes CDN s TLS terminací blízko uživatele.

Nejčastější chyby při HTTPS a jejich SEO důsledky

Dočasná přesměrování (302) místo 301: ztratíte část signálů, prodloužíte konsolidaci indexu.
Řetězení přesměrování (HTTP → WWW → HTTPS → bez WWW): zvyšuje latenci a riziko time-outů. Vytvořte přímou mapu HTTP → HTTPS cíle.
Zapomenuté subdomény (např. cdn, img, m): vedou k mixed content a varováním.
Nekonzistentní kanonické URL: canonical na HTTP nebo na jiný hostitel je častý zdroj duplicitního obsahu.
Nekompatibilní pluginy/widgety: staré embed kódy na http:// rozbijí rozložení a rendering.
Vypršelý certifikát: výpadek důvěryhodnosti = masivní nárůst odchodů a pokles konverzí.

Konfigurace serveru: příklady hlaviček

Přidejte a udržujte bezpečnostní hlavičky (upravte podle kontextu):

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
Content-Security-Policy: default-src 'self'; img-src 'self' data: https:; script-src 'self' 'unsafe-inline' https:; style-src 'self' 'unsafe-inline' https:; font-src 'self' https: data:; frame-ancestors 'self'; upgrade-insecure-requests
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: geolocation=(), camera=(), microphone=()

Poznámka: Politiky CSP a Permissions-Policy přizpůsobte realitě projektu; začněte v režimu reportování (Content-Security-Policy-Report-Only), poté zpřísněte.

CDN, obrázky a fonty: časté zdroje mixed contentu

CDN URL: ujistěte se, že CNAME i origin používají HTTPS a platný certifikát (včetně SAN pro CNAME).
Optimalizace obrázků: generování WebP/AVIF přes HTTPS endpoint; pro starší prohlížeče fallback také přes HTTPS.
Fonty: @font-face musí odkazovat na https:// se správným crossorigin a font-display nastavením.
Third-party skripty: vždy používejte https:// a zvažte Subresource Integrity (SRI) u statických knihoven.

Sitemapy, robots.txt a strukturovaná data po migraci

Sitemapy: pouze HTTPS URL; zkontrolujte lastmod a frekvenci aktualizace.
robots.txt: hostovaný na https://domena.tld/robots.txt, odkaz na HTTPS sitemapu.
Strukturovaná data: všechny @id a odkazy v JSON-LD musí používat HTTPS.
Open Graph/Twitter Cards: obrázky a URL v metadatech pouze přes HTTPS, jinak se náhledy nemusí vykreslit.

PWA, service workery a bezpečnost

Service worker funguje pouze na zabezpečeném původu. HTTPS je tedy nezbytné pro PWA. Jakékoli smíšené zdroje mohou blokovat registraci SW a narušit cache strategie, což se projeví horší dostupností a pomalejšími opakovanými návštěvami.

Měření dopadu: metriky, které sledujte

Core Web Vitals: LCP, CLS, INP po přechodu na HTTPS/HTTP-2/3 a zapnutí CDN.
Chybovost crawl-u: počet 4xx/5xx, počet přesměrování a délka řetězců.
Mixed content: trend chyb v čase, počet blokovaných požadavků.
Konverze a míra odchodů: dopad odstranění varování „Not secure“ a zrychlení stránky.

Kontrolní seznam (TL;DR)

Nasaďte certifikát, zapněte TLS 1.2/1.3, HTTP/2/3, OCSP stapling.
Nastavte 301 z HTTP → HTTPS bez řetězení; aktualizujte interní odkazy, sitemapy, kanonické URL, hreflang.
Vyčistěte mixed content (kód, CMS, CDN, externí widgety); zvažte upgrade-insecure-requests.
Přidejte bezpečnostní hlavičky (HSTS, CSP, X-Content-Type-Options, Referrer-Policy, Permissions-Policy).
Ověřte v Search Console HTTPS property; monitorujte crawl, CWV, chybová hlášení, expiraci certifikátu.
Po stabilizaci aktivujte HSTS preload (pouze pokud je HTTPS 100 % konzistentní napříč subdoménami).

HTTPS, HSTS a úplná eliminace mixed contentu patří mezi základní pilíře technického SEO a výkonu. Správné nastavení zvýší důvěru, zlepší rychlost, stabilizuje signály pro vyhledávače a ochrání uživatele i byznys. Pokud to provedete systematicky – s přesměrováními, kanonikalizací, bezpečnostními hlavičkami a monitoringem – získáte dlouhodobou technickou výhodu, která se promítne do viditelnosti i konverzí.