eso hoy dia no se pregunta, se forza... busca como forzar siempre https en tu pagina... sobre si tienes ssl instalado, eso no le corresponde al script, te corresponde a ti... para saberlo es simple, abre tu pagina con https , y has click en el candadito de la barra de direcciones para ver las caracteristicas

recuerda el principio de programacion... tu eres el programador y sabes lo que estas haciendo... a menos que sea un sistema para vender a gente con poco conocimiento, estas haciendo pasos de mas...

1- no tienes que comprarlo, hay gratuitos como let's encrip
2- puedes usar uno autogenerado, te da un error de seguridad al inicio, pero igual sirve

no hay sentido para hacer lo que quieres sinceramente... no tiene ningun punto escalar y gastar tiempo de procesamiento para algo estatico...

lo mas probable es que si lo haces te detecte uno, porque usualmente los servidores traen uno autogenerado para hacer pruebas...

eso que haces es un error de programador novato... "generalmente no me gusta andar adaptando las cosas una vez pasen" no tienes que hacerlo... se hace un sistema definitivo y listo... por otro lado, adaptar... bueno, eso no va a cambiar nada en tu codigo, eso está a nivel de apache...

Si necesitas ayuda con el cert, yo lo puse el de let's encrypt hace menos de 1 semana. Siempre usaba otro pero en el hosting nuevo en el que tengo la web no sirven las comprobaciones de los dominios por las autoridades certificadoras, asique metí let's encrypt que me permite meterlo sin validar el dominio y así establecer un canal de comunicación más fiable que el http.
https://stringmanolo.ml/ Si te vas al candado y le das a ver el certificado y ver los datos, ya ves que usa Let's Encrypt. Es gratuito. Si miras el de aquí del foro, ves que está el certificado verificado por cloudflare. Es una buena opción utilizar cloudflare para validar tu dominio y utilizar el certificado. En concreto el de Let's Encrypt puedes comprobar en mi sitio que me lo emitieron el 10 de enero y que es válido hasta dentro de 4 meses. Asique hay que renovarlo eventualmente.

Como comenta Engel Lex, no se comprueba, se ajusta dinámicamente o se cambia. Simplemente se fuerza. Y esto no es solo por comodidad. También por seguridad. Si tu sirves tu página por http, por mucho que después cambies a https, ya serviste la página por un canal inseguro. Esto posibilita SUPLANTACIÓN completa del sitio web, inyecciones, etc. Para algo existen tecnologías como hsts.

En general creo que te has metido en un proyecto que se te queda muy grande. Por qué? Porque cuando lo consigas acabar, habrá pasado tanto tiempo desde que hiciste la base del sistema, que ya no te va a acordar como repetirlo tal cual. Es decir, has hecho las cosas una vez de forma correcta, siguiendo los pasos que te han dado, pero no le has dedicado el tiempo suficiente para asimilar, ampliar y aprender a trabajar con esas tecnologías. Lo normal es hacer las cosas de menos a más. Repetirlas varias veces, asimilarlas, leer mucho sobre ellas, y en base a ello encontrar soluciones que se adapten A UN PROYECTO GLOBAL. Hay mucha gente que se mete puertas blindadas de 3.000$ y la pared de al lado es de ladrillo. Literal. Esto es un poco lo que pasa cuando vas metiendo trozito a trozito piezas que funcionan. Que se te quedan huecos en medio. Cuando alguien golpea una de las piezas, el agujero tira todo el sistema.


Te aconsejo que conjuntamente con el proyecto, te pares a analizar cada una de esas piezas que vas metiendo, para ponerle un poco de masilla y formar una aplicación más robusta. Por ejemplo ahora que estás con el tema HTTPS. Deberías saber exactamente que es https. Como funciona https, para que se utiliza, por qué se utiliza, como se implementa. Ataques pasados. Ataques recientes. Ataques que ahora mismo, en este momento, son posibles. Que se le añadió para arreglar eses fallos. Que tipo de cifrados se usan. Como funcionan. Que se le metió a los navegadores para mejorar la seguridad. Etc.

También deberías bajar más abajo. Si estás usando cifrados y confiando tu seguridad en ellos, estaría bien saber como funcionan en vez de confiar a ciegas en ellos porque la mayoría los utiliza. Si estás usando javascript, deberías saber de donde sale, por qué se usa javascript, como ha mejorado, a que fallos se exponen la aplicaciones que lo utilizan, etc. Cuando optas por usar Jquery, deberías consultar las críticas a la librerías, como afecta al tipo de clientes que esperas que utilicen tus servicios, como afecta a a seguridad de tus aplicaciones, que te aporta sobre un proyecto que utilice otras alternativas... Por ejemplo si estás desarrollando un versión de una aplicación bancaria para dispositivos móviles con baja velocidad de conexión que van a utilizar una cadena privada de proxies, quizás añadir una versión antigua y pesada de Jquery, va exactmente por el lado opuesto de las carcterísticas que buscas en tu aplicación, que serían seguridad, integridad, velocidad y disponibilidad.

Por otro lado, este tipo de proyectos, puede que te interese hacerlos open source (que no es opuesto de privativo, ni sinónimo de freeware) para que gente más experimentada te ayude en la seguridad y optimzación para poder aprender y mejorar la aplicación final.

También deberías pensar en como detectar y reaccionar correctamente a los fallos de seguridad en la aplicación. Deberías leer sobre la obscuración y la filosofía y opinión de expertos en ciberseguridad y criptografía al respecto.

Tu script puede hacer una petición HTTPS para verificar si existe por HTTPS. Sin embargo, no tiene caso estar realizando la verificación constantemente ya que es muy ineficiente. Lo podrías agregar como parte de un script de instalación o algún otro script que tenga como proposito escribir configuración. Podría ser conveniente porque hay veces en las que el usuario no tiene acceso a la configuración más que a través de una interfaz web y hacer cambios manuales sin verificación a menudo lleva a tener el sitio inaccesible.

Por lo general no se espera que los scripts deduzcan el mejor protocolo de manera dinámica. La configuración también es tipicamente manual pero no veo porque no agregar verificaciones en la asistencia de configuración (si eso es lo que estás haciendo).

Tenias razón "isset ($_SERVER['HTTPS'])

Perdon x la tardanza.. gracias!