איך מתקנים את האזהרה „לא מאובטח”

מה האזהרה אומרת בפועל

דפדפנים מציגים „לא מאובטח” בשורת הכתובת כשהדף עצמו הגיע ב־HTTP, בלי הצפנה. כל מי שנמצא באותה רשת Wi-Fi, נתב פרוץ או מפעיל הרשת יכולים לקרוא ולשנות את מה שהמבקר שולח ומקבל, כולל סיסמאות וטפסי יצירת קשר. מנעול עם אזהרה, או דף https://‎ בלי מנעול, מעידים בדרך כלל על תוכן מעורב: הדף ב־HTTPS, אבל תמונה, סקריפט או טופס בתוכו עדיין משתמשים ב־http://‎.

מעכשיו קשה יותר להתעלם מהאזהרה. ב־Chrome 154, שיצא באוקטובר 2026, ההגדרה „תמיד להשתמש בחיבורים מאובטחים” פעילה כברירת מחדל: כרום מנסה קודם HTTPS, ואם זה נכשל הוא מציג אזהרה על כל המסך ומבקש מהמבקר אישור לפני שהוא פותח אתר HTTP ציבורי. כרום מציג את האזהרה הזו גם כשאחת ההפניות בדרך לדף שלכם עוברת ב־HTTP, אפילו אם הדף הסופי ב־HTTPS.

שלב 1: התקינו תעודה חינמית

רוב חברות האחסון כוללות תעודה חינמית. חפשו בפאנל הניהול „SSL/TLS”, „Let’s Encrypt” או „AutoSSL” והפעילו אותה גם ל־yourdomain.com וגם ל־www.yourdomain.com. אם אתם מנהלים שרת בעצמכם, Certbot מנפיק תעודת Let’s Encrypt חינמית ומחדש אותה אוטומטית:

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com
# Apache: install python3-certbot-apache and use --apache instead of --nginx

תעודה בתשלום לא הופכת את החיבור לבטוח יותר. תעודה חינמית מאומתת־דומיין נותנת את אותה הצפנה ואת אותו מנעול.

שלב 2: הפנו מ־HTTP ל־HTTPS

תעודה לבדה לא מספיקה: אנשים עדיין מקלידים את הכתובת בלי https://‎, וקישורים ישנים מפנים ל־http://‎. ענו לכל בקשת HTTP בהפניה קבועה (301) לאותו נתיב ב־HTTPS. ב־nginx:

server {
    listen 80;
    listen [::]:80;
    server_name yourdomain.com www.yourdomain.com;
    return 301 https://yourdomain.com$request_uri;
}

ב־Apache או באחסון משותף, הוסיפו את השורות האלה בראש קובץ .htaccess בתיקיית השורש של האתר:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

מאחורי Cloudflare, הפעילו את SSL/TLS ← Edge Certificates ← Always Use HTTPS, וקבעו את מצב ה־SSL ל־Full (strict) ברגע שלשרת שלכם יש תעודה תקפה משלו. מצב „Flexible” יחד עם הפניה בשרת הוא סיבה נפוצה ללולאת הפניות אינסופית.

שלב 3: העבירו את וורדפרס (או מערכת ניהול התוכן) ל־https://‎

בוורדפרס, פתחו את הגדרות ← כללי ושנו גם את כתובת וורדפרס וגם את כתובת האתר ל־https://‎. קישורים שכבר שמורים בתוך פוסטים ווידג'טים עדיין מכילים http://‎. עם WP-CLI אפשר להחליף את כולם בבת אחת; הריצו קודם הרצת ניסיון וגבו את מסד הנתונים לפני ההרצה האמיתית:

wp option get siteurl
wp search-replace 'http://yourdomain.com' 'https://yourdomain.com' --all-tables --dry-run
# looks right? back up the database, then run it again without --dry-run

שלב 4: תקנו תוכן מעורב

פתחו את הדף, לחצו F12 והסתכלו בלשונית Console: הדפדפן מפרט כל משאב שהוא חסם או שדרג כי התבקש דרך http://‎. שנו את הכתובות האלה ל־https://‎ (או לנתיבים יחסיים), והחליפו כל וידג'ט של צד שלישי שלא תומך ב־HTTPS. במדריך ההפניות והתוכן המעורב יש פקודות חיפוש ושורת Content-Security-Policy שמשדרגת אוטומטית בקשות שנשארו.

שלב 5: בדקו כל שלב בשרשרת ההפניות

האזהרה החדשה של כרום מופיעה גם כששלב בהפניה עובר ב־HTTP, למשל https://yourdomain.com ← http://www.yourdomain.com ← https://www.yourdomain.com. עקבו אחרי השרשרת מכל כתובת התחלה וודאו שרק הבקשה הראשונה היא http://‎:

for u in http://yourdomain.com http://www.yourdomain.com https://yourdomain.com https://www.yourdomain.com; do
  echo "== $u"; curl -sIL "$u" | grep -iE '^(HTTP/|location:)'
done

באופן אידיאלי, כל כתובת מגיעה לדף הסופי בהפניה אחת. עדכנו גם קישורים שבשליטתכם: פרופיל העסק בגוגל, הרשתות החברתיות, חתימת הדוא״ל והמודעות.

שלב 6: נעלו את זה עם HSTS

כשכל דף וכל תת־דומיין עובדים ב־HTTPS, הוסיפו את הכותרת Strict-Transport-Security כדי שהדפדפנים ידלגו לגמרי על HTTP בביקורים הבאים. התחילו עם max-age קצר והגדילו אותו כשאתם בטוחים. ראו HSTS בשפה פשוטה.

עדיין רואים אזהרה?

• שגיאת תעודה על כל המסך (למשל NET::ERR_CERT_DATE_INVALID) היא בעיה אחרת: ראו שגיאות תעודת SSL בהסבר פשוט.
• רק בחלק מהדפים: הדפים האלה עדיין טוענים משהו דרך http://‎, או שטופס שולח לכתובת http://‎.
• רק אצל חלק מהמבקרים: סימנייה או קישור ישן ל־http://‎, הפניה שנשמרה במטמון, או תת־דומיין בלי תעודה.
• אחרי החלפת אחסון או CDN: ייתכן שלשרת החדש עוד אין תעודה, או שהוא מציג תעודה של שם אחר.

מה HackGrade בודקת

הסריקה החינמית של HackGrade בודקת את ההפניה מ־HTTP ל־HTTPS, אם התעודה מהימנה ומתי היא פוקעת, את גרסת ה־TLS, את HSTS ואת התוכן המעורב בדף הבית, ומסבירה את התיקונים הראשונים בשפה פשוטה. היא קוראת רק את מה שהדפדפן של כל מבקר רואה.