Za dużo przekierowań i brak kłódki po włączeniu HTTPS w WordPressie

Włączenie certyfikatu SSL powinno być formalnością, a bywa początkiem kłopotów: strona wpada w pętlę przekierowań i przeglądarka zgłasza ERR_TOO_MANY_REDIRECTS, albo działa, ale kłódki w pasku adresu nadal nie ma. Oba problemy mają konkretne, łatwe do usunięcia przyczyny.

Skąd bierze się pętla przekierowań?

Przeglądarka trafia na adres A, który przekierowuje na B, a B z powrotem na A. Po kilkunastu skokach przeglądarka się poddaje. W WordPressie najczęściej dzieje się tak, gdy:

• adresy siteurl i home mają http://, a serwer wymusza https:// (lub odwrotnie),
• strona stoi za Cloudflare w trybie SSL „Flexible” – Cloudflare łączy się z serwerem przez HTTP, a serwer przekierowuje z powrotem na HTTPS,
• przekierowania ustawione są w kilku miejscach naraz: w .htaccess, we wtyczce i w panelu hostingu,
• niezgodność www i wersji bez www między WordPressem a regułami serwera.

Krok 1: wyczyść ciasteczka i cache

Przeglądarka zapamiętuje przekierowania. Zanim zaczniesz zmiany, sprawdź stronę w oknie prywatnym albo wyczyść ciasteczka dla tej domeny. Jeśli używasz wtyczki cache lub CDN, wyczyść także ich pamięć.

Krok 2: ustaw spójny adres strony

W wp-config.php wymuś jeden, docelowy adres:

define( 'WP_HOME', 'https://twojadomena.pl' );
define( 'WP_SITEURL', 'https://twojadomena.pl' );

Ten sam adres (z www lub bez – byle wszędzie tak samo) musi być w regułach przekierowań serwera.

Krok 3: Cloudflare i serwery proxy

W Cloudflare ustaw tryb SSL/TLS na Full (strict) – wymaga ważnego certyfikatu na serwerze, który większość hostingów wystawia za darmo (Let's Encrypt). Jeśli strona stoi za proxy lub load balancerem, WordPress może nie wiedzieć, że połączenie jest szyfrowane. Pomaga dopisanie do wp-config.php, nad linią „To wszystko, zakończ edycję”:

if ( isset( $_SERVER['HTTP_X_FORWARDED_PROTO'] ) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https' ) {
    $_SERVER['HTTPS'] = 'on';
}

Krok 4: jedno miejsce przekierowań

Wybierz jedno miejsce, które przekierowuje HTTP na HTTPS – najlepiej serwer (.htaccess lub opcja „Wymuś HTTPS” w panelu hostingu). Wyłącz analogiczne opcje we wtyczkach. Przykładowa reguła odporna na proxy znajduje się we wpisie o hardeningu przez .htaccess.

Brak kłódki mimo SSL – mixed content

Strona działa po HTTPS, ale część elementów (obrazki, skrypty, czcionki) wczytywana jest przez http://. Przeglądarka uznaje wtedy stronę za nie w pełni bezpieczną. Które to elementy, zobaczysz w konsoli przeglądarki (F12 → Konsola – ostrzeżenia „Mixed Content”).

Stare adresy siedzą zwykle w treści wpisów i ustawieniach w bazie danych. Najpewniej zamienisz je przez WP-CLI – najpierw na próbę, potem naprawdę:

wp search-replace 'http://twojadomena.pl' 'https://twojadomena.pl' --all-tables --dry-run
wp search-replace 'http://twojadomena.pl' 'https://twojadomena.pl' --all-tables

WP-CLI poprawnie obsługuje zserializowane dane, których nie wolno zmieniać „ręcznym” zapytaniem SQL. Bez WP-CLI użyj wtyczki do wyszukiwania i zamiany w bazie. Przed zamianą zrób kopię bazy danych. Twardo wpisane adresy http:// mogą też siedzieć w plikach motywu lub w ustawieniach page buildera.

Lista kontrolna po przejściu na HTTPS:

• Certyfikat ważny dla wersji z www i bez www.
• Jeden adres w siteurl, home i regułach serwera.
• Jedno źródło przekierowania HTTP → HTTPS.
• Brak ostrzeżeń „Mixed Content” w konsoli.
• Nowa usługa w Google Search Console dla adresu https://.

Przeczytaj też

Naprawa WordPress Najczęstsze problemy z WordPressem – 15 błędów i jak je naprawić Naprawa WordPress Błąd krytyczny i biały ekran w WordPressie – jak to naprawić krok po kroku Naprawa WordPress Błąd 500 Internal Server Error w WordPressie – 6 przyczyn i rozwiązań