Почему для HTTPS-редиректа нужен SSL-сертификат

Сначала TLS, потом редирект

При открытии HTTPS-адреса браузер сначала устанавливает защищённое соединение и проверяет сертификат исходного хоста. Только после успешного TLS-обмена он отправляет HTTP-запрос и получает ответ 301 или 302.

Поэтому редирект не может «обойти» ошибку сертификата источника. Если браузер не доверяет соединению, до заголовка Location он может вообще не дойти.

Источник: проверка сертификата и HTTPS-соединение.
HTTP-ответ: код перенаправления и адрес назначения.
Назначение: новое соединение и проверка его сертификата, если оно тоже использует HTTPS.

Два хоста — две проверки

Для перехода с https://example.net на https://example.org действительные сертификаты нужны обеим сторонам. Сертификат назначения не исправляет ошибку у источника.

Redirect301 управляет сертификатом подключённого источника. Доступность и сертификат сайта назначения остаются у его владельца или хостинга. Даже при совпадении владельца это две отдельные обязанности.

HTTP → HTTPS и HTTPS → другой хост

Пример маршрута

Исходный URLhttp://example.net/docs

HTTP301

Назначениеhttps://example.org/docs

Для исходного HTTP-запроса TLS не нужен. Но HTTPS-версия этого же источника всё равно требует своего сертификата.

Если открыть сразу https://example.net/docs, проверка исходного сертификата произойдёт до редиректа. Сервис, который умеет только HTTP-переадресацию, не решает эту часть задачи.

Продление — часть работы источника

Сертификат выдаётся на ограниченный срок, поэтому его нужно продлевать. Автоматический выпуск и продление для подключённых источников входят в предложение.

Автоматизация зависит от корректного DNS и доступности необходимых проверок. Смена записей или ограничивающие CAA-записи могут помешать выдаче. После изменения DNS важно проверить HTTPS, а не только переход с HTTP.

Ищите проблему по этапу

Ошибка сертификата до перехода: Проверьте точное исходное имя, актуальный DNS и готовность сертификата для этого имени.
Редирект пришёл, ошибка на новом адресе: Проверьте сертификат и доступность назначения. Это уже другое соединение.
HTTP работает, HTTPS — нет: У источника может отсутствовать действительный сертификат или HTTPS-обработчик.
Браузер ходит по кругу: Сравните правила источника и назначения: они не должны возвращать друг к другу.

Перейти к настройке

Примените эти принципы на своей платформе: