HTTPS กับความน่าเชื่อถือของเว็บ: ติดตั้งใบรับรองแล้วต้องเช็กอะไรต่อ

เจ้าของเว็บหลายรายจ่ายเงินติดตั้งใบรับรองความปลอดภัยเรียบร้อย เห็นรูปกุญแจขึ้นบนแถบที่อยู่เว็บแล้วก็ถือว่าจบงาน จนกระทั่งวันหนึ่งมีลูกค้าโทรมาบอกว่าเปิดเว็บแล้วขึ้นคำเตือนสีแดง หรือเปิดจากลิงก์เก่าแล้วเจอหน้าเว็บที่รูปไม่ขึ้นสักรูป ทั้งที่หน้าเดียวกันเปิดจากเครื่องตัวเองแล้วปกติดี

บทความนี้จะไล่ให้ครบว่าหลังติดตั้งใบรับรองแล้วยังเหลืออะไรต้องทำอีกบ้าง ตั้งแต่การเปลี่ยนเส้นทางทั้งเว็บ การไล่หาไฟล์ที่ยังเรียกผ่าน http การตั้ง canonical และ sitemap ให้ชี้ถูกเวอร์ชัน ไปจนถึงการตั้งค่าใน Search Console และวิธีกันไม่ให้ใบรับรองหมดอายุแบบไม่รู้ตัว ถ้าอยากดูภาพรวมของงานเทคนิคทั้งหมดที่เจ้าของธุรกิจควรรู้ อ่านได้ที่ Technical SEO สำหรับธุรกิจ SME

ติดตั้งใบรับรอง HTTPS แล้วต้องเช็กอะไรต่อ

เหตุผลที่ต้องตรวจให้ครบเป็นเพราะเว็บหนึ่งเว็บอาจมีที่อยู่ได้หลายเวอร์ชันพร้อมกัน ทั้งแบบมีและไม่มี www คูณกับแบบ http และ https รวมเป็นสี่ชุด ถ้าทั้งสี่ชุดเปิดได้หมดโดยไม่มีการรวมทาง ผู้ใช้บางคนจะเข้าเวอร์ชันที่ไม่ปลอดภัย และ Google ก็ต้องเดาเองว่าเวอร์ชันไหนคือของจริง

HTTPS คืออะไร และทำไมเบราว์เซอร์ถึงขึ้นคำเตือนเมื่อไม่มี

HTTPS คือการรับส่งข้อมูลระหว่างเบราว์เซอร์ของผู้ใช้กับเซิร์ฟเวอร์ของเว็บโดยเข้ารหัสไว้ ใบรับรองที่ติดตั้งบนเซิร์ฟเวอร์ทำหน้าที่สองอย่าง อย่างแรกคือยืนยันว่าโดเมนนี้เป็นของผู้ที่ขอใบรับรองจริง อย่างที่สองคือทำให้เบราว์เซอร์กับเซิร์ฟเวอร์ตกลงกุญแจสำหรับเข้ารหัสข้อมูลที่จะส่งหากันได้

เมื่อเว็บยังใช้ http ธรรมดา ข้อมูลทุกอย่างที่ผู้ใช้กรอกจะเดินทางเป็นข้อความเปล่า ใครก็ตามที่อยู่ระหว่างทาง เช่น คนที่ควบคุมเครือข่ายไวไฟสาธารณะ สามารถอ่านหรือแทรกเนื้อหาเข้าไปได้ เบราว์เซอร์จึงเลือกเตือนผู้ใช้ตรง ๆ โดยเฉพาะเมื่อหน้านั้นมีช่องให้กรอกข้อมูล

• หน้าที่มีช่องกรอกรหัสผ่านหรือข้อมูลบัตรบนเว็บที่ยังเป็น http มักถูกเบราว์เซอร์ขึ้นคำเตือนชัดเจนที่สุด
• แถบที่อยู่จะไม่แสดงสัญลักษณ์แสดงการเชื่อมต่อที่ปลอดภัย และอาจขึ้นข้อความว่าไม่ปลอดภัยแทน
• ในกรณีที่ใบรับรองผิดพลาดหรือหมดอายุ เบราว์เซอร์จะขึ้นหน้าเตือนเต็มจอ ซึ่งต้องกดยืนยันหลายขั้นกว่าจะเข้าเว็บได้
• ผลกระทบที่แท้จริงคือความไว้ใจของลูกค้า คนทั่วไปไม่ได้แยกแยะว่าคำเตือนหมายถึงอะไร แต่รู้ว่าไม่ควรกรอกข้อมูลต่อ

ทำให้ทั้งเว็บวิ่งมาที่ https ที่เดียว

งานชิ้นแรกหลังติดตั้งใบรับรองคือรวมทางเข้าให้เหลือเวอร์ชันเดียว โดยตั้งการเปลี่ยนเส้นทางแบบถาวรจาก http ไป https ในระดับทั้งเว็บ ไม่ใช่ตั้งทีละหน้า และต้องเลือกด้วยว่าจะใช้แบบมี www หรือไม่มี www เป็นเวอร์ชันหลัก แล้วให้อีกแบบเปลี่ยนเส้นทางมาหา

ไล่หา mixed content ที่ทำให้กุญแจไม่ขึ้น

mixed content (เนื้อหาผสม) คือกรณีที่ตัวหน้าเว็บถูกส่งมาแบบ https แล้ว แต่ภายในหน้ายังมีคำสั่งเรียกไฟล์บางอย่างผ่าน http เช่น รูปภาพเก่าที่ฝังที่อยู่เต็มไว้ในเนื้อหา สคริปต์ของบุคคลที่สาม หรือฟอนต์ที่โหลดจากที่อื่น ผลที่ตามมามีสองแบบ แบบแรกคือเบราว์เซอร์ยอมโหลดแต่ไม่แสดงสถานะปลอดภัยเต็มรูปแบบ แบบที่สองคือเบราว์เซอร์บล็อกไฟล์นั้นทิ้งไปเลย ทำให้หน้าเสียรูปหรือฟังก์ชันบางอย่างไม่ทำงาน

1. 1เปิดหน้าที่สงสัยในเบราว์เซอร์ แล้วเปิดเครื่องมือสำหรับนักพัฒนา ดูที่แท็บ Console จะมีข้อความแจ้งไฟล์ที่ถูกโหลดหรือถูกบล็อกเพราะยังเป็น http
2. 2จดที่อยู่ของไฟล์เหล่านั้นไว้ แล้วดูว่ามาจากในเว็บเราเองหรือมาจากบริการภายนอก
3. 3ถ้าเป็นไฟล์ของเราเอง ให้แก้ที่อยู่ในเนื้อหาหรือในฐานข้อมูลให้เป็น https หรือใช้ที่อยู่แบบสัมพัทธ์ที่ไม่ระบุโปรโตคอล
4. 4ถ้าเป็นไฟล์จากบริการภายนอกที่ไม่รองรับ https ให้เปลี่ยนไปใช้บริการอื่นหรือย้ายไฟล์นั้นมาไว้ในเว็บของเราเอง
5. 5ตรวจซ้ำหลายประเภทหน้า ทั้งหน้าแรก หน้าบทความเก่า หน้าสินค้า และหน้าที่มีฟอร์ม เพราะปัญหามักซ่อนอยู่ในหน้าเก่าที่ไม่มีใครเปิดดูนาน
6. 6ตรวจอีเมลอัตโนมัติและไฟล์ที่ฝังจากภายนอกด้วย เพราะที่อยู่แบบ http ที่ค้างอยู่ในเทมเพลตมักถูกลืมเสมอ

canonical, sitemap และ property ใน Search Console

สามอย่างนี้คือจุดที่บอก Google ว่าเวอร์ชันไหนคือของจริง ถ้าตั้งไม่ตรงกัน จะเกิดอาการที่เจ้าของเว็บงงบ่อยที่สุด คือรายงานใน Search Console ดูเหมือนไม่มีข้อมูล ทั้งที่เว็บมีคนเข้าอยู่ทุกวัน สาเหตุมักเป็นเพราะดูอยู่คนละ property กับเวอร์ชันที่ใช้จริง

เรื่อง canonical มีรายละเอียดมากกว่าที่เห็น โดยเฉพาะกรณีที่ Google เลือกไม่เชื่อค่าที่เราตั้งไว้ อ่านเพิ่มได้ที่ Canonical คืออะไร ส่วนวิธีจัดการไฟล์ sitemap ให้ถูกต้องอยู่ที่ Sitemap คืออะไร และถ้ายังไม่เคยตั้งค่าเครื่องมือฝั่ง Google เลย เริ่มจาก Google Search Console คืออะไร ก่อนได้

ใบรับรองหมดอายุแล้วเกิดอะไรขึ้น และกันอย่างไร

ใบรับรองทุกใบมีวันหมดอายุ เมื่อถึงวันนั้นและยังไม่ได้ต่ออายุ เบราว์เซอร์จะไม่ยอมเปิดเว็บให้ตามปกติ แต่จะขึ้นหน้าเตือนเต็มจอว่าการเชื่อมต่อไม่ปลอดภัย ผู้ใช้ทั่วไปแทบทั้งหมดจะกดย้อนกลับทันที ผลกระทบจึงเกิดกับยอดขายและความไว้ใจก่อนจะเกิดกับอันดับเสียอีก

• ลูกค้าที่กำลังจะกรอกฟอร์มหรือสั่งซื้อจะออกจากเว็บทันที และส่วนใหญ่ไม่กลับมาอีกในวันนั้น
• ระบบภายนอกที่เรียกใช้เว็บของคุณ เช่น ระบบส่งข้อมูลจากแบบฟอร์มหรือบริการเชื่อมต่ออื่น ๆ อาจหยุดทำงานเงียบ ๆ
• ถ้า Google เข้ามาเก็บข้อมูลในช่วงที่ใบรับรองเสีย หน้าเว็บอาจถูกบันทึกว่าเข้าถึงไม่ได้ชั่วคราว
• ถ้าปล่อยไว้หลายวันจนหลายหน้าเข้าไม่ได้ อาจกระทบการแสดงผลในผลค้นหา ซึ่งใช้เวลาฟื้นตัวหลังแก้

ตารางอาการที่เจอบ่อย สาเหตุ และวิธีตรวจ

ตารางนี้ช่วยให้คุณระบุปัญหาได้เร็วขึ้นโดยไม่ต้องเดา ให้เริ่มจากอาการที่เห็นจริงในเบราว์เซอร์ แล้วไล่ไปที่สาเหตุที่เป็นไปได้มากที่สุดก่อน

HTTPS มีผลกับ SEO แค่ไหนกันแน่

พูดตรง ๆ คือ HTTPS เป็นสัญญาณพื้นฐานที่ควรมี ไม่ใช่ตัวเร่งอันดับ Google ระบุมานานแล้วว่า HTTPS เป็นหนึ่งในสัญญาณที่นำมาพิจารณา แต่เป็นสัญญาณที่มีน้ำหนักเบาเมื่อเทียบกับความเกี่ยวข้องของเนื้อหากับคำค้นหา การติดใบรับรองจึงไม่ทำให้เว็บที่เนื้อหาไม่ตอบโจทย์ขยับขึ้นมาได้

• ผลที่ชัดที่สุดไม่ได้อยู่ที่อันดับ แต่อยู่ที่อัตราการออกจากเว็บเมื่อผู้ใช้เห็นคำเตือนก่อนกรอกข้อมูล
• ปัญหาที่มาพร้อมการย้าย HTTPS ที่ทำไม่ครบต่างหากที่กระทบอันดับได้จริง เช่น เนื้อหาซ้ำระหว่างเวอร์ชัน http กับ https หรือเส้นทางที่ตั้งผิด
• ถ้าเว็บมีทั้งสองเวอร์ชันเปิดได้พร้อมกัน Google ต้องเลือกเองว่าจะเก็บเวอร์ชันไหน ซึ่งอาจไม่ตรงกับที่คุณต้องการ
• หลังย้ายเสร็จ ให้เฝ้าดูรายงานการเก็บหน้าเข้าระบบสักสองถึงสามสัปดาห์ ถ้าเห็นหน้าหายไปมากผิดปกติ มักเป็นเรื่องเส้นทางหรือ canonical มากกว่าเรื่องใบรับรอง

ข้อผิดพลาดที่พบบ่อย

• ติดใบรับรองแล้วหยุดแค่นั้น — ที่อยู่แบบ http ยังเปิดได้ตามปกติ ทำให้เว็บมีสองเวอร์ชันพร้อมกัน
• ตั้งการเปลี่ยนเส้นทางให้ทุกหน้าเด้งไปหน้าแรก — ลิงก์เก่าที่ลูกค้าเคยบันทึกไว้ใช้ไม่ได้ทั้งหมด
• ใช้การเปลี่ยนเส้นทางแบบชั่วคราวแทนแบบถาวร — สัญญาณของหน้าเดิมไม่ถูกส่งต่ออย่างที่ควร
• ปล่อย mixed content ไว้เพราะหน้าแรกดูปกติ — ปัญหาซ่อนอยู่ในบทความเก่าที่มีรูปฝังที่อยู่แบบ http ไว้
• ลืมแก้ canonical ให้เป็น https — บอก Google ว่าหน้าหลักคือเวอร์ชันเก่าโดยไม่ตั้งใจ
• ทิ้งที่อยู่แบบ http ไว้ใน sitemap — ส่งสัญญาณขัดกันเองระหว่างไฟล์ sitemap กับหน้าเว็บจริง
• ไม่ตั้ง property ของ https ใน Search Console — เข้าใจผิดว่าทราฟฟิกหายไปทั้งที่แค่ดูผิดที่
• ใช้อีเมลเก่าที่ไม่มีคนดูแลรับการแจ้งเตือนต่ออายุ — จนใบรับรองหมดอายุแล้วรู้ตัวจากลูกค้าที่โทรมาบอก

ข้อผิดพลาดเหล่านี้แก้ได้ทั้งหมดและใช้เวลาไม่นานถ้าไล่เป็นลำดับ สิ่งที่เสียหายจริงคือช่วงเวลาที่ปล่อยไว้โดยไม่รู้ตัว เพราะลูกค้าที่เห็นคำเตือนแล้วปิดหน้าไปไม่ได้บอกใคร ดังนั้นควรตั้งรอบตรวจสั้น ๆ ไว้ทุกไตรมาส

คำถามที่พบบ่อย

สรุป

การติดตั้งใบรับรองคือจุดเริ่มต้น ไม่ใช่เส้นชัย งานที่ทำให้ HTTPS มีความหมายจริงคือการรวมทางเข้าให้เหลือเวอร์ชันเดียวด้วยการเปลี่ยนเส้นทางถาวร ไล่แก้ไฟล์ที่ยังเรียกผ่าน http ให้หมด ตั้ง canonical และ sitemap ให้ชี้ไป https ตั้ง property ใน Search Console ให้ตรงกับเวอร์ชันที่ใช้จริง และกันไม่ให้ใบรับรองหมดอายุด้วยการต่ออายุอัตโนมัติพร้อมการแจ้งเตือนที่ไปถึงคนที่ยังทำงานอยู่ ทำครบห้าข้อนี้แล้วค่อยกลับไปทุ่มเวลาให้กับเนื้อหา ซึ่งเป็นสิ่งที่มีผลกับอันดับมากกว่ามาก