Corrija redirecionamentos HTTPS e conteúdo misto

Redirecione HTTP para HTTPS

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://example.com$request_uri;
}

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Usa Cloudflare? Use o modo SSL/TLS Full (strict). O modo “Flexible” fala com o seu servidor por HTTP, o que, junto com um redirecionamento no servidor, causa um loop de redirecionamento infinito.

Corrija o conteúdo misto

Conteúdo misto é qualquer coisa carregada por http:// numa página HTTPS. Encontre em DevTools → Console ou nos seus resultados do HackGrade. No WordPress, atualize os endereços do site em Configurações → Geral e depois substitua os links antigos no banco de dados (teste antes com --dry-run):

wp search-replace 'http://example.com' 'https://example.com' --skip-columns=guid --dry-run

Como rede de segurança, a diretiva CSP upgrade-insecure-requests faz os navegadores buscarem recursos http:// por https://.

Mantenha o certificado se renovando

A validade dos certificados está ficando mais curta em todo o setor, então a renovação precisa ser automática. Com o certbot:

sudo certbot renew --dry-run