Search Console meldet: HTTPS-Abdeckung unzureichend

In der Google Search Console tauchte 2021 ein Bericht auf, der viele Betreiber ratlos zurückließ: „Die HTTPS-Abdeckung deiner Website ist unzureichend“. Auf Englisch hieß es „Insufficient https coverage on your site“. Und das bei Seiten, die vollständig verschlüsselt ausgeliefert wurden.

Zur Einordnung vorweg: Diesen Bericht zum Verhalten von Seiten hat Google inzwischen wieder abgeschafft. Wer die Meldung sucht, findet sie in der Search Console nicht mehr. Die Ursachen dahinter gibt es aber weiterhin, und sie zeigen sich heute an anderer Stelle, etwa im Bericht zur Seitenindexierung oder schlicht daran, dass HTTP-Adressen in der Suche auftauchen.

Was zuerst zu prüfen ist

Stimmt das Zertifikat?

Klick im Browser auf das Schloss in der Adresszeile und sieh dir Domain und Ablaufdatum an, am besten in einem privaten Fenster, damit kein Zwischenspeicher dazwischenfunkt. Wichtig ist auch, dass das Zertifikat sowohl für die Domain mit als auch ohne www gilt.

Gibt es unverschlüsselte Bestandteile?

Sogenannter Mixed Content entsteht, wenn eine verschlüsselte Seite ein Bild, ein Skript oder eine Schriftart über HTTP nachlädt. Der Browser zeigt das in den Entwicklerwerkzeugen unter Konsole als Warnung. Bei WordPress steckt so etwas gern in alten Beiträgen, in denen Bildadressen noch mit http hinterlegt sind, oder in einem Theme, das eine externe Datei unverschlüsselt einbindet.

Kennt Google noch die HTTP-Fassung?

Das ist in meinen Fällen der eigentliche Punkt gewesen.

Wenn Google etwas meldet, das du auf deiner Seite nicht nachstellen kannst, such nicht länger nach dem Fehler im Quelltext, sondern prüfe, was Google von dir überhaupt kennt.

Daniel Weihmann

Google bewertet die Domain als Ganzes, und dazu gehören auch Adressen, die es längst nicht mehr geben sollte: die HTTP-Fassung, die Variante ohne www, alte Adressen aus der Zeit vor einem Relaunch. Wenn davon noch etwas im Index steht, gilt ein Teil der Seiten als unverschlüsselt, obwohl deine aktuelle Seite tadellos ist.

Prüfen kannst du das mit einer Suche nach site:deinedomain.de und einem Blick darauf, welche Adressvarianten dort erscheinen. In der Search Console lohnt zusätzlich ein Vergleich der Properties: Sind HTTP und HTTPS getrennt angelegt, siehst du erst dort, was in der alten noch lebt.

Was das behebt

Eine saubere Weiterleitung von HTTP auf HTTPS und von der Variante ohne www auf die gewünschte, und zwar mit dem Status 301 und nicht über eine Zwischenstation. Jede zusätzliche Weiterleitung in der Kette macht es unsauberer.

RewriteEngine On
RewriteCond %{HTTPS} !=on [OR]
RewriteCond %{HTTP_HOST} !^www\. [NC]
RewriteRule ^(.*)$ https://www.example.de/$1 [R=301,L]

Dazu die internen Links im Bestand korrigieren, damit sie direkt auf die richtige Adresse zeigen, statt über die Weiterleitung zu laufen. Bei WordPress erledigt das ein Suchen-und-Ersetzen in der Datenbank, am schnellsten über WP-CLI mit search-replace.

Und schließlich: Canonical-Angaben prüfen. Zeigt eine Seite per Canonical auf ihre eigene HTTP-Fassung, hältst du die Altlast selbst am Leben.

Geduld gehört dazu

Nach solchen Korrekturen passiert erst einmal nichts. Google muss die alten Adressen neu abrufen, die Weiterleitung sehen und den Index anpassen, und das dauert Wochen. Wer nach drei Tagen nachsieht und dieselbe Meldung findet, hat nichts falsch gemacht.

Was in der Zwischenzeit hilft: In der Search Console einzelne Adressen prüfen lassen und die Sitemap neu einreichen. Beides beschleunigt es zumindest ein wenig.

Wenn du bei so etwas nicht selbst graben willst: Ich sehe mir Seiten daraufhin an und sage dir, woran es liegt, siehe Suchmaschinenoptimierung.