Joomla पर SSL सर्टिफिकेट कैसे इंस्टॉल करें और HTTPS कैसे फोर्स करें

Joomla साइट को HTTPS पर ले जाने में तीन चरण लगते हैं: अपने सर्वर पर एक SSL सर्टिफिकेट इंस्टॉल करें, Joomla के Global Configuration में Force HTTPS सेट करें, और एक 301 रीडायरेक्ट जोड़ें ताकि पुराने HTTP लिंक फॉलो हो सकें। तीसरे चरण में एक Joomla-विशिष्ट पेच है जो अधिकांश लोगों को उलझा देता है, और उसे कोड से पहले नीचे कवर किया गया है।

त्वरित उत्तर: अपने होस्टिंग पैनल के माध्यम से सर्टिफिकेट इंस्टॉल करें, फिर System > Global Configuration > Server पर जाएं और Force HTTPS को Entire Site पर सेट करें। सर्वर स्तर पर रीडायरेक्ट जोड़ने के लिए, पहले अपने Joomla रूट में htaccess.txt का नाम बदलकर .htaccess करें, क्योंकि Apache इसे इसके शिप किए गए नाम के अंतर्गत नज़रअंदाज़ कर देता है।

SSL (Secure Sockets Layer का संक्षिप्त रूप, हालांकि आज जारी किया गया हर सर्टिफिकेट TLS का उपयोग करता है) वह है जो आपके एड्रेस बार से “Not Secure” लेबल हटाता है। अगर आप पहले पृष्ठभूमि जानना चाहते हैं, तो पढ़ें SSL सर्टिफिकेट क्या है। ये चरण Joomla 5 और Joomla 6 पर लागू होते हैं।

कौन सी विधि आपके Joomla सेटअप के लिए उपयुक्त है

आपका सेटअप	सर्टिफिकेट कैसे प्राप्त करें	लगभग कितना समय
AutoSSL के साथ मैनेज्ड या cPanel होस्ट	पैनल में मुफ्त सर्टिफिकेट जारी करें, फिर Force HTTPS सेट करें	10 मिनट
SSL टूल के बिना होस्ट, या आपका अपना VPS	Let’s Encrypt सर्टिफिकेट के लिए Certbot, फिर Force HTTPS सेट करें	20 मिनट
पेड सर्टिफिकेट (OV, EV या वाइल्डकार्ड)	CSR जेनरेट करें, मैन्युअल रूप से इंस्टॉल करें, फिर Force HTTPS सेट करें	30 मिनट प्लस वैलिडेशन
आपकी साइट के सामने Cloudflare	ओरिजिन पर सर्टिफिकेट, Cloudflare को Full (strict) पर सेट किया गया, और Behind Load Balancer चालू किया गया	15 मिनट

शुरू करने से पहले बैकअप लें। Joomla पर Akeeba Backup सामान्य विकल्प है। इस प्रक्रिया की विफलता का तरीका है अपने ही एडमिनिस्ट्रेटर तक एक्सेस खोना, और नीचे configuration.php सेक्शन में दिया गया बैकअप और रिकवरी चरण आपको इससे निकाल देगा।

Joomla साइट को कौन सा SSL सर्टिफिकेट उपयोग करना चाहिए?

मुफ्त विकल्प से शुरुआत करें। अधिकांश होस्ट स्वचालित रूप से मुफ्त Let’s Encrypt सर्टिफिकेट जारी करते हैं, और मुफ्त सर्टिफिकेट द्वारा प्रदान की जाने वाली एन्क्रिप्शन पेड सर्टिफिकेट के समान ही होती है। एक Joomla SSL सर्टिफिकेट और दूसरे के बीच जो अलग होता है वह यह है कि सर्टिफिकेट अथॉरिटी ने जारी करने से पहले क्या सत्यापित किया, और जब कुछ गलत होता है तो आपको क्या मिलता है।

प्रकार	CA क्या जाँचता है	जारी होने में समय	उपयुक्त
Domain Validation (DV)	कि आप डोमेन को नियंत्रित करते हैं	मिनट	ब्लॉग, ब्रोशर साइट्स, अधिकांश Joomla इंस्टॉल
Organization Validation (OV)	डोमेन के साथ आपका पंजीकृत संगठन	1 से 3 कार्य दिवस	बिज़नेस साइट्स, मेंबर एरिया, क्लाइंट पोर्टल
Extended Validation (EV)	कंपनी की पूर्ण कानूनी और परिचालन जाँच	1 से 3 कार्य दिवस	स्टोर, फाइनेंस, जहां भी पहचान महत्वपूर्ण हो

यदि आपका Joomla इंस्टॉल सबडोमेन सर्व करता है, तो एक वाइल्डकार्ड सर्टिफिकेट एक ही सर्टिफिकेट से उन सभी को कवर करता है। यकीन नहीं है कि कौन सा प्रकार लागू होता है? SSL Wizard कुछ प्रश्नों में इसे संकुचित कर देता है।

एक मुफ्त सर्टिफिकेट चार मामलों में सही उत्तर नहीं रह जाता: आप पेमेंट लेते हैं और सर्टिफिकेट के पीछे वारंटी चाहते हैं, आपको इसके भीतर केवल डोमेन नियंत्रण के बजाय अपनी सत्यापित संगठन जानकारी चाहिए, आप सबडोमेन चलाते हैं और आपके होस्ट पर मुफ्त वाइल्डकार्ड जारी करना असुविधाजनक है, या आपका होस्ट रिन्यूअल को स्वचालित नहीं करता। वह अंतिम बिंदु लोगों की अपेक्षा से अधिक महत्वपूर्ण है, और अगला सेक्शन बताता है कि क्यों।

सर्टिफिकेट को अपने सर्वर पर प्राप्त करें

Joomla सर्टिफिकेट इंस्टॉल नहीं करता। यह चरण सर्वर पर होता है, आपके Joomla को छूने से पहले ही।

अपने होस्टिंग पैनल से

अपने कंट्रोल पैनल में SSL/TLS, Let’s Encrypt या AutoSSL देखें। cPanel पर यह Security के अंतर्गत होता है। सर्टिफिकेट को apex डोमेन और www संस्करण दोनों के लिए जारी करें, या जो भी आपने छोड़ दिया वह name mismatch चेतावनी देगा।

Let’s Encrypt सर्टिफिकेट 90 दिनों तक चलते हैं और समाप्ति से लगभग 30 दिन पहले स्वचालित रूप से रिन्यू होने के लिए बनाए गए हैं। जब यह ऑटोमेशन टूटता है, आमतौर पर डोमेन मूव या DNS बदलाव के बाद, साइट हफ्तों तक काम करती रहती है और फिर बिना चेतावनी के असुरक्षित हो जाती है। पुष्टि करें कि ऑटो-रिन्यूअल चालू है, और पहली अनुमानित रिन्यूअल तारीख के बाद, SSL Checker से सर्टिफिकेट की जाँच करें। यदि समाप्ति तारीख आगे बढ़ी है, तो रिन्यूअल काम कर रहा है।

पैनल के बिना VPS पर

Certbot का उपयोग करें, जो Let’s Encrypt क्लाइंट है। यह कमांड लाइन से सर्टिफिकेट जारी करता है, Apache या Nginx कॉन्फिगर करता है, और अपना स्वयं का रिन्यूअल टाइमर इंस्टॉल करता है।

पेड सर्टिफिकेट को मैन्युअल रूप से इंस्टॉल करना

• एक CSR जेनरेट करें। Joomla के पास अपना कोई CSR फ़ंक्शन नहीं है, इसलिए CSR generator का उपयोग करें, या अपने सर्वर के लिए CSR गाइड्स देखें।
• इसे सर्टिफिकेट अथॉरिटी को सबमिट करें और वैलिडेशन पूरा करें।
• सर्टिफिकेट, प्राइवेट की और इंटरमीडिएट सर्टिफिकेट इंस्टॉल करें। cPanel में यह SSL/TLS > Manage SSL sites है, जिसे cPanel इंस्टॉलेशन गाइड में कवर किया गया है। अन्य प्लेटफ़ॉर्म SSL इंस्टॉलेशन गाइड्स में हैं।
• आगे बढ़ने से पहले सत्यापित करें। SSL Checker चलाएं, और यदि कुछ गलत दिखे तो कैसे जाँचें कि सर्टिफिकेट सही तरीके से इंस्टॉल है देखें।

इंटरमीडिएट सर्टिफिकेट को न छोड़ें। चेन के बिना मुख्य सर्टिफिकेट इंस्टॉल करें और अधिकांश डेस्कटॉप ब्राउज़र फिर भी padlock दिखाएंगे, क्योंकि वे कहीं और देखे गए इंटरमीडिएट्स को कैश करते हैं। मोबाइल ब्राउज़र, पेमेंट गेटवे और API क्लाइंट विफल हो जाएंगे। यदि आप जिस समस्या का पीछा कर रहे हैं वह चेन समस्या है, तो एक्सपायर्ड इंटरमीडिएट सर्टिफिकेट देखें।

Joomla में HTTPS को कैसे फोर्स करें

सर्वर पर काम कर रहे सर्टिफिकेट के साथ, Joomla को इसका उपयोग करने के लिए बताएं। एडमिनिस्ट्रेटर में लॉग इन करें और System > Global Configuration > Server पर जाएं। उस टैब के शीर्ष पर Server ब्लॉक में आपको Force HTTPS मिलेगा, और इसकी तीन स्थितियां हैं बजाय एक साधारण ऑन और ऑफ के।

• None. Joomla कुछ नहीं करता। पेज HTTP और HTTPS दोनों पर पहुंच योग्य रहते हैं।
• Administrator Only. एडमिनिस्ट्रेटर, इसकी लॉगिन स्क्रीन शामिल, HTTPS पर फोर्स किया जाता है, और पब्लिक साइट को अकेला छोड़ दिया जाता है। यह वह स्थिति है जिसका उपयोग किया जाना चाहिए जब सर्टिफिकेट अभी भी वैलिडेट हो रहा हो, या किसी साइट पर जो आप चरणों में माइग्रेट कर रहे हैं। आपका अपना पासवर्ड बिना किसी विजिटर को दिखाई देने वाली चीज़ को छेड़े तुरंत खुले में यात्रा करना बंद कर देता है।
• Entire Site. सब कुछ HTTPS पर फोर्स किया जाता है। सर्टिफिकेट काम करने की पुष्टि हो जाने के बाद यही चाहिए।

Entire Site चुनें और सेव करें। यह करने से पहले सत्यापित करें कि सर्टिफिकेट आपके डोमेन पर रिज़ॉल्व होता है। यदि Force HTTPS सक्षम है जब सर्टिफिकेट टूटा हुआ है या गायब है, तो एडमिनिस्ट्रेटर भी अनरीचेबल हो जाता है, और आपको नीचे दिए गए रिकवरी चरण की आवश्यकता होगी।

ये निर्देश Joomla 5 और Joomla 6 को लक्षित करते हैं, दो समर्थित शाखाएं। Joomla 6.0 अक्टूबर 2025 में शिप किया गया, और Joomla 5 13 अक्टूबर 2026 पर फंक्शनल अपडेट प्राप्त करना बंद कर देता है, जिसके बाद अक्टूबर 2027 तक केवल सुरक्षा पैच होंगे। यदि आप अभी भी Joomla 3 पर हैं, तो यह अगस्त 2023 में एंड ऑफ लाइफ पर पहुंच गया और सेटिंग अलग जगह पर बैठती है, इसलिए यहां कुछ भी फॉलो करने से पहले अपडेट करें।

configuration.php से Force HTTPS सेट करें

Global Configuration में हर सेटिंग आपके Joomla रूट में configuration.php में संग्रहित है। FTP पर उस फ़ाइल को एडिट करना ही आपको तब वापस अंदर पहुंचाता है जब Force HTTPS ने आपको एडमिनिस्ट्रेटर से लॉक कर दिया है, जो ठीक वह स्थिति है जब ड्रॉपडाउन अब पहुंच योग्य नहीं रहता।

संबंधित लाइन यह है:

public $force_ssl = 2;

मान तीन स्थितियों पर मैप होते हैं: 0 None है, 1 Administrator है, और 2 साइट और एडमिनिस्ट्रेटर दोनों है। इसे FTP पर 0 पर वापस सेट करना सेकंडों में लॉकआउट को पूर्ववत कर देता है।

आपको पास में एक दूसरी लाइन मिलेगी:

public $live_site = '';

बहुत से Joomla HTTPS ट्यूटोरियल आपको बताते हैं कि इसे अपने https एड्रेस से भरें, और उनमें से कई इसे var $live_site के रूप में लिखते हैं। यह सिंटैक्स Joomla 1.5 का है, जिसने PHP 4 क्लास सिंटैक्स का उपयोग किया था और 2012 में रिटायर हो गया था। वर्तमान Joomla public का उपयोग करता है, और सेटिंग को वैकल्पिक के रूप में डॉक्युमेंट किया गया है। इसे खाली छोड़ दें जब तक कि आपके पास साइट URL को पिन करने का कोई विशेष कारण न हो। यह वह नहीं है जो HTTPS सक्षम करता है, और इसे गलत तरीके से सेट करना Joomla साइट को तोड़ने का एक सामान्य तरीका है। $force_ssl वह सेटिंग है जो काम करती है।

.htaccess में 301 रीडायरेक्ट जोड़ें

Force HTTPS उन रिक्वेस्ट्स को हैंडल करता है जो Joomla तक पहुंचती हैं। सर्वर स्तर पर एक रीडायरेक्ट तेज़ होता है, क्योंकि यह PHP चलने से पहले होता है, और यह काम करता रहता है यदि Joomla कभी ऑफलाइन हो जाए। Apache पर इसका मतलब .htaccess है, और यहां वह हिस्सा है जिसे लगभग हर गाइड छोड़ देता है।

पहले, htaccess.txt का नाम बदलें

Joomla फ़ाइल को htaccess.txt के रूप में शिप करता है, न कि .htaccess के रूप में। Apache उस नाम के अंतर्गत इसे नज़रअंदाज़ कर देता है। यदि आप रीडायरेक्ट रूल्स को htaccess.txt नाम की फ़ाइल में, या ऐसी .htaccess फ़ाइल में पेस्ट करते हैं जो अभी अस्तित्व में नहीं है, तो कुछ नहीं होता और यह बताने के लिए कोई एरर नहीं होती कि क्यों।

• अपने Joomla रूट में htaccess.txt का नाम बदलकर .htaccess करें। htaccess.txt को एडिट न करें और उसे वहीं छोड़ दें: एक Joomla अपडेट उस फ़ाइल को ओवरराइट कर देता है और आपके बदलाव उसके साथ चले जाते हैं।
• Global Configuration में Use URL Rewriting चालू करने से पहले नाम बदलें। पहले रीराइटिंग सक्षम करें और Joomla index.php के बिना URL बनाना शुरू कर देता है जिसे Apache रूट करना नहीं जानता, इसलिए होम पेज के अलावा हर पेज 404 लौटाता है।

फिर रीडायरेक्ट जोड़ें

Joomla के अपने रीराइट ब्लॉक के ऊपर, .htaccess के शीर्ष के पास ये लाइनें जोड़ें:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

दो विवरण यह निर्धारित करते हैं कि यह काम करता है या नहीं। कंडीशन off होनी चाहिए, जिसका अर्थ है “रीडायरेक्ट करें जब रिक्वेस्ट अभी सुरक्षित न हो”। इसे on के रूप में लिखा जाए, जो कि प्रकाशित स्निपेट्स की एक आश्चर्यजनक संख्या में दिखता है, तो रूल केवल उन रिक्वेस्ट्स पर फायर होता है जो पहले से HTTPS हैं और उन्हें फिर से HTTPS पर भेज देता है, जो एक लूप है। और R=301 फ्लैग वह है जो इसे एक स्थायी रीडायरेक्ट बनाता है। इसके बिना, या एक साधारण R के साथ, आपको एक टेम्परेरी 302 या एक इंटरनल रीराइट मिलता है जो सर्च इंजनों को कभी नहीं बताता कि कुछ मूव हुआ है।

Nginx पर

Nginx के पास कोई .htaccess नहीं है और यह Apache रीराइट रूल्स नहीं पढ़ता। इसके बजाय सर्वर ब्लॉक को एडिट करें:

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

nginx -t से टेस्ट करें, फिर systemctl reload nginx से रीलोड करें।

स्विच के पीछे जो छूट जाता है उसे ठीक करें

Joomla कैश साफ करें। यह करने वाली पहली चीज़ है और सबसे अक्सर भूल जाने वाली चीज़ है। Joomla खुशी से HTTP मार्कअप से भरे कैश्ड पेज सर्व करता रहेगा, जो एक पूर्ण माइग्रेशन को टूटा हुआ दिखाता है। Maintenance पैनल में, System > Clear Cache पर जाएं, और अगर आप एक CDN का उपयोग करते हैं तो उसे भी पर्ज करें।

मिक्स्ड कंटेंट ठीक करें। HTTPS पर सर्व किया गया एक पेज जो अभी भी HTTP पर एक इमेज, स्क्रिप्ट या स्टाइलशीट लोड करता है, मिक्स्ड कंटेंट है। ब्राउज़र दो कैटेगरीज़ को अलग तरह से ट्रीट करते हैं: मीडिया आमतौर पर अपग्रेडेबल होता है, इसलिए ब्राउज़र चुपचाप इसे HTTPS पर रिक्वेस्ट कर लेता है, जबकि स्क्रिप्ट्स और स्टाइलशीट्स ब्लॉकेबल होते हैं और बस अस्वीकार कर दिए जाते हैं, जिस कारण एक प्रभावित पेज पूरी तरह से बिना स्टाइल के आ सकता है। Joomla पर सामान्य स्रोत टेम्पलेट ओवरराइड्स, मॉड्यूल सेटिंग्स और थर्ड-पार्टी एक्सटेंशन्स में हार्डकोडेड URL होते हैं। ब्राउज़र कंसोल दोषी रिसोर्स का नाम देता है। मिक्स्ड कंटेंट कैसे ठीक करें पर हमारी गाइड निदान को पूरी तरह से कवर करती है।

अपना साइटमैप और robots.txt अपडेट करें। XML साइटमैप को फिर से जेनरेट करें ताकि यह https URL सूचीबद्ध करे, और जाँचें कि robots.txt किसी भी चीज़ के http संस्करण को संदर्भित न करे।

Joomla SSL समस्याओं का समाधान

Force HTTPS सक्षम करने के बाद बहुत सारे रीडायरेक्ट

यह सबसे सामान्य Joomla HTTPS विफलता है, और यह होता है क्योंकि दो सामान्य सलाहें असंगत हैं। यदि Cloudflare जैसा एक प्रॉक्सी TLS को टर्मिनेट करता है और फिर आपके सर्वर से प्लेन HTTP पर बात करता है, तो Joomla कभी HTTPS रिक्वेस्ट नहीं देखता। Force HTTPS निष्कर्ष निकालता है कि विजिटर असुरक्षित रूप से पहुंचा और उन्हें HTTPS पर रीडायरेक्ट कर देता है, प्रॉक्सी उस रिक्वेस्ट का उत्तर फिर से HTTP पर देता है, और लूप जारी रहता है जब तक कि ब्राउज़र ERR_TOO_MANY_REDIRECTS के साथ हार नहीं मान लेता।

दो फिक्स हैं और आपको आमतौर पर दोनों चाहिए:

• अपने Cloudflare SSL/TLS एन्क्रिप्शन मोड को Full (strict) पर सेट करें और ओरिजिन सर्वर पर एक वैध सर्टिफिकेट रखें। Flexible मोड, जिसे कई पॉपुलर Joomla ट्यूटोरियल अभी भी त्वरित मुफ्त विकल्प के रूप में सुझाते हैं, वह है जो लूप बनाता है।
• Behind Load Balancer को Yes पर स्विच करें। यह Global Configuration के Proxy ब्लॉक में, उसी System > Global Configuration > Server टैब पर, और नीचे है। यह Joomla को प्रॉक्सी से forwarded प्रोटोकॉल हेडर पर भरोसा करने के लिए बताता है, बजाय एक डायरेक्ट HTTPS कनेक्शन देखने के।

दूसरी सेटिंग पर एक चेतावनी: Behind Load Balancer को केवल तभी सक्षम करें जब आपकी साइट वास्तव में एक प्रॉक्सी, लोड बैलेंसर या CDN के पीछे हो। एक साधारण होस्ट पर, ऐसे forwarded हेडर पर भरोसा करना जिसे कोई भी भेज सकता है, बिना किसी लाभ के सुरक्षा को कमज़ोर करता है।

अन्य सामान्य समस्याएं

लक्षण	कारण	समाधान
एडमिनिस्ट्रेटर से लॉक आउट	Force HTTPS सक्षम है जबकि सर्टिफिकेट गायब है या टूटा है	FTP पर configuration.php में $force_ssl को 0 पर सेट करें, सर्टिफिकेट ठीक करें, फिर फिर से सक्षम करें
रीडायरेक्ट रूल्स कुछ नहीं करते	वे htaccess.txt में लिखे गए थे, या एक .htaccess फ़ाइल में जो अस्तित्व में नहीं है	htaccess.txt का नाम बदलकर .htaccess करें
होम पेज के अलावा हर पेज 404 लौटाता है	URL Rewriting को नाम बदलने से पहले चालू किया गया था	फ़ाइल का नाम बदलें, या जब तक आप ऐसा नहीं करते तब तक रीराइटिंग बंद रखें
कुछ पेजों पर ही padlock गायब	उन पेजों पर मिक्स्ड कंटेंट	ब्राउज़र कंसोल में HTTP रिसोर्स खोजें
साइट ठीक थी, हफ्तों बाद असुरक्षित हो गई	एक Let’s Encrypt सर्टिफिकेट समाप्त हो गया क्योंकि रिन्यूअल टूट गया	फिर से जारी करें, फिर अपने पैनल में ऑटो-रिन्यूअल की पुष्टि करें
ब्राउज़र में काम करता है, ऐप या गेटवे के लिए विफल	अपूर्ण सर्टिफिकेट चेन	पूरा CA बंडल इंस्टॉल करें, SSL Checker से फिर से जाँचें
www या apex पर नाम मिसमैच	सर्टिफिकेट केवल दो नामों में से एक को कवर करता है	दोनों को कवर करते हुए फिर से जारी करें। देखें common name invalid

यदि सर्टिफिकेट इंस्टॉल है और साइट अभी भी असुरक्षित रिपोर्ट करती है, तो SSL error गाइड्स विशिष्ट ब्राउज़र एरर कोड को हैंडल करती हैं।

स्विच के बाद: SEO चेकलिस्ट

• Google Search Console में HTTPS प्रॉपर्टी जोड़ें। एक HTTP प्रॉपर्टी HTTPS URL पर रिपोर्ट नहीं करती। नई प्रॉपर्टी जोड़ें, या एक Domain प्रॉपर्टी का उपयोग करें, जो दोनों को कवर करती है।
• https URL के साथ साइटमैप फिर से सबमिट करें।
• अपने SEF या SEO एक्सटेंशन में कैनोनिकल टैग्स की जाँच करें कि वे https की ओर पॉइंट करते हैं।
• एनालिटिक्स और किसी भी थर्ड-पार्टी सर्विस को अपडेट करें जो आपकी साइट URL स्टोर करती है।

कुछ मूवमेंट की उम्मीद करें। Google एक HTTP से HTTPS स्विच को URL बदलावों के साथ एक साइट मूव के रूप में ट्रीट करता है, इसलिए इंप्रेशन्स कुछ समय के लिए आपके HTTP और HTTPS प्रॉपर्टीज़ के बीच विभाजित दिखेंगे और रैंकिंग्स अक्सर सेटल होने से पहले कुछ हफ्तों तक फ्लक्चुएट करती है। जब तक हर पेज रिज़ॉल्व होता है और 301 रीडायरेक्ट जगह पर हैं, ठीक करने के लिए कुछ नहीं है।

एक बार HTTPS कुछ समय से स्थिर रहा है, HSTS पर विचार करें, जो ब्राउज़रों को आपके डोमेन के लिए प्लेन HTTP को सीधे अस्वीकार करने के लिए बताता है। पहले प्रीलोड डायरेक्टिव को बंद रखें, क्योंकि इसे उलटना धीमा है और यह HTTP पर अभी भी मौजूद किसी भी सबडोमेन को अनरीचेबल बना देगा।

अक्सर पूछे जाने वाले प्रश्न

एक अलग प्लेटफ़ॉर्म मूव कर रहे हैं, या सामान्य प्रक्रिया चाहते हैं? हमारी गाइड देखें साइट को HTTP से HTTPS में कैसे स्विच करें पर।