C’è un’impostazione del sito force_https. È abilitata per impostazione predefinita in un’installazione standard.