Mixed content

Mieszanie HTTPS i HTTP na jednej stronie.

Co to jest Mixed content?

Mixed content to sytuacja, w której strona ładowana po HTTPS dociąga część zasobów (obrazy, skrypty, style) po nieszyfrowanym HTTP. Połączenie przestaje być w pełni bezpieczne.

Przeglądarki traktują to surowo: aktywne zasoby (skrypty, style) są blokowane, a pasywne (obrazy) oznaczane ostrzeżeniem. Efekt to popsuty wygląd lub działanie strony i zniknięcie kłódki.

Dlaczego to ważne dla SEO

Mieszana zawartość przekreśla korzyść z HTTPS i psuje wskaźnik bezpieczeństwa. Najczęściej pojawia się po migracji na HTTPS, gdy stare adresy zasobów zostały z http://.

Jak to sprawdzić

Otwórz konsolę przeglądarki (F12) i poszukaj ostrzeżeń „Mixed Content”. SEOMaster wskazuje zasoby ładowane po HTTP na stronie HTTPS.

Częste błędy

• Zakodowane na stałe adresy http:// w szablonie
• Obrazy i osadzenia z zewnętrznych serwisów bez HTTPS
• Brak przepisania starych linków po migracji

Przykład

<!-- źle --> <img src="http://twojadomena.pl/logo.png">
<!-- dobrze --> <img src="https://twojadomena.pl/logo.png">

Najczęstsze pytania

Jak znaleźć mieszaną treść?

Konsola przeglądarki wypisuje każdy zasób wczytany po HTTP na stronie HTTPS. To najszybsza droga, szybsza niż przeszukiwanie kodu.

Czy to tylko kwestia kłódki?

Nie. Zasób pobrany po HTTP może zostać podmieniony po drodze, a jeśli jest to skrypt, atakujący przejmuje kontrolę nad całą stroną.

Jak naprawić masowo?

Zwykle wystarczy podmienić w bazie adresy zaczynające się od http na https dla własnej domeny. Nagłówek upgrade-insecure-requests to doraźna łata, nie rozwiązanie.

Poradniki na ten temat

• Nagłówki bezpieczeństwa — wdrożenie krok po kroku bez psucia strony — Sześć nagłówków, które zamykają najczęstsze drogi ataku. Kolejność wdrożenia ma znaczenie: dwa ostatnie potrafią popsuć stronę, jeśli wprowadzisz je bez okresu obserwacji.

Źródła

• MDN — mieszana treść

Wszystkie hasła · Cała Wiedza · Jak skanujemy