Перевірка змішаного контенту (mixed content)

>

Якщо сайт має HTTPS, але браузер показує «не повністю захищено», причина у ресурсах, що вантажаться по http. Введіть адресу, і ми знайдемо такі картинки, скрипти й стилі.

Що знаходить перевірка змішаного контенту

Змішаний контент - це все, що HTTPS-сторінка завантажує по звичайному http: зображення, скрипти, стилі, фрейми, відео й аудіо, вбудовані обʼєкти та форми, що надсилають дані на http-адресу. Небезпечні скрипти й фрейми браузери блокують одразу, а для решти показують попередження замість замка.

Перевірка завантажує сторінку й переглядає її HTML у пошуках атрибутів src, href, data та action, що починаються з http://, і показує кожен збіг. Вона читає HTML у тому вигляді, в якому його віддав сервер, тож ресурси, які пізніше додає JavaScript або на які посилаються CSS-файли (фонові зображення, шрифти), не видно. Якщо після чистого результату замок усе ще зламаний, шукайте там.

Як читати результат

  • Змішаного контенту не знайдено: кожен ресурс у HTML завантажується по https.
  • Знайдено ресурси, що вантажаться по http: у списку видно кожну адресу і тег, що її завантажує. Замініть http:// на https:// у джерелі або приберіть ресурс, якщо інший сервер не має HTTPS.
  • Сторінка працює без HTTPS: змішаний контент не має значення, доки сам сайт не на https.
  • Найчастіше змішаний контент лишається від старих абсолютних посилань у базі даних, збережених до переходу на HTTPS, адрес, прописаних у файлах теми, і сторонніх вставок.

Повʼязані помилки та інструкції

Часті запитання

Чи впливає змішаний контент на оцінку повної перевірки?
Так. Якщо сторінка на HTTPS і знайдено хоча б один ресурс по http, повна перевірка знімає 2 бали, бо відвідувачі бачать зламаний замок.
Як виправити змішаний контент у WordPress?
Вкажіть обидві адреси сайту з https у «Налаштування», «Загальні», потім замініть http://ваш-домен на https://ваш-домен у базі даних інструментом пошуку й заміни, що коректно працює із серіалізованими даними. Після цього перевірте тему й віджети на прописані вручну посилання.
Чи може Content-Security-Policy виправити це автоматично?
Директива upgrade-insecure-requests каже браузеру запитувати http-ресурси по https. Вона допомагає лише тоді, коли ці ресурси справді доступні по https.