Безопасность · URL_HTTP_VARIANT

HTTP-версия стартового URL отдаёт 200

Стартовая страница открыта по HTTPS, но тот же адрес по HTTP остаётся 200.

Приоритет в аудите: Высокий

Что проверяется

Если конечный URL seed — https, запрашивается http с тем же хостом и путём. Бюджет общий с пробами слеша, index, www, лишнего слеша и неизвестного пути, максимум 7. 404/410 или сбой порта 80 — не открытый HTTP-дубль. Редирект на https — не находка. 200 с финальным http — дефект. Цепочка HTTP-пробы с переходом https→http дополнительно даёт HTTPS_DOWNGRADE. Если seed уже http, это правило не применимо: срабатывает HTTPS_NOT_USED.

Частые причины

Нет редиректа HTTP→HTTPS

Редирект только на части хостов или путей

Балансировщик отдаёт HTTP наружу

Как исправить

Постоянный 301 с HTTP на HTTPS той же страницы. После проверки включите HSTS. Не оставляйте 200 на http:// даже при canonical на https.

Критерий приёмки

HTTP стартового URL не остаётся 200: либо 301 на HTTPS, либо порт 80 недоступен.