переадресация на https и обратно

посадить всё на https и не парить мозги.

orphelin,

 header('Location: http://www.site.ru?notredir=1') 

А вообще ЛК должен соответствовать какому-то шаблону УРЛ. Допустим, что он лежит в папке client. Тогда при обращении к любому файлу, из этой папки редиректим на https. В противном случае - на http.

	if ((substr ($_SERVER['REQUEST_URI'], 0, 7) == '/client') and (!$_SERVER['HTTPS'])) {
		header('HTTP/1.1 301 Moved Permanently');
		header('Location: https://'.$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI']);
	} else {
		if ($_SERVER['HTTPS']) {
			header('HTTP/1.1 301 Moved Permanently');
			header('Location: http://'.$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI']);
		}
	}

После того, как перенесли один сайт на https, тиц обнулился на месяц. Предупредите клиента заранее.

В начале каждой страницы, где нужен https, добавляете

<?
if (!$_SERVER['HTTPS']) {
	header("Location: https://".$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI'], true, 301);
	exit;
}
?>

Ну а на страницах, где не нужен https, соответственно:

<?
if ($_SERVER['HTTPS']) {
	header("Location: http://".$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI'], true, 301);
	exit;
}
?>

Разумеется, если на одной странице нужно [зачем-то] использовать при различных условиях и http и https, то нужно эти случаи обрабатывать дополнительно.

Формально, если сайту нужен HTTPS, то он вообще не должен поддерживать HTTP, иначе теряется весь смысл.

Т.е. наиболее правильно - это вынести ЛК на отдельный поддомен, который поддерживает только HTTPS. В противном случае от прыжков с HTTP на HTTPS нет никакого практического смысла.

FollowLocation,

спасибо, помогло, правда во второй if пришлось добавить что-то вроде

and !(substr ($_SERVER['REQUEST_URI'], 0, 7) == '/client')

иначе опять в цикл уходило)

orphelin, да, действительно недодумал. В ЛК зацикливание получается в моем варианте. Вообще можно немножко упростить и оптимизировать код:

if ((substr ($_SERVER['REQUEST_URI'], 0, 7) == '/client') and (!$_SERVER['HTTPS'])) {
	header('Location: https://'.$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI'], true, 301);
	die();
}

if ((substr ($_SERVER['REQUEST_URI'], 0, 7) != '/client') and ($_SERVER['HTTPS'])) {
	header('Location: http://'.$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI'], true, 301);
	die();
}

ИМХО лучше это делать на стороне фронтэнда. Все равно сертификаты там прописывать будете, почему бы туда не вынести. Я у себя на NGINX так и сделал с личными кабинетами.