Was wird geprüft
Im HTTP: Der Scan folgt allen Weiterleitungen der eingegebenen URL und sieht sich an, wo er landet. Beginnt die finale URL mit https://, ist die Zeile „ok“; sonst ist sie kritisch, mit dem Hinweis, dass Tracking-Requests unverschlüsselt laufen. Bewertet wird das Ziel. Wer http:// eingibt und sauber auf HTTPS weitergeleitet wird, bekommt deshalb „ok“.
Was der Scan nicht bewertet: das Zertifikat selbst (ein ungültiges lässt den Scan scheitern, statt eine Zeile zu erzeugen), Mixed Content auf der Seite, HSTS und die Konfiguration von TLS. HSTS steht im Befund Security Headers.
Warum ist das wichtig
HTTPS ist seit Jahren Standard, und genau deshalb fällt die Ausnahme auf: Eine Site, die 2026 noch über HTTP antwortet, hat meist auch keine Security-Header, kein Consent-Setup und ein Tracking aus derselben Zeit. Für die Messung selbst heißt HTTP: Jede Client-ID, jedes Cookie und jeder Event-Parameter geht lesbar durch jedes Netz zwischen Besucher und Server. Browser markieren solche Seiten als „nicht sicher“, Pixel und Consent-Plattformen laden dort oft gar nicht mehr. Kein Banner, keine Messung. Und die Parallelvariante ohne Redirect teilt die Signale auf zwei Origins, sodass Sessions und Referrer im Reporting auseinanderfallen.
Häufige Ursachen
- Das Zertifikat ist abgelaufen oder deckt die Subdomain nicht ab, der Browser warnt.
- Die HTTP-Variante leitet nicht weiter, beide Versionen laufen parallel und teilen sich die Signale.
- Mixed Content: die Seite selbst ist HTTPS, lädt aber einzelne Ressourcen über http://.
- Eine Landingpage oder ein Microsite-Subdomain wurde ohne Zertifikat aufgesetzt, die Hauptdomain ist sauber.