Mieszana zawartość

Bezpieczne strony powinny ładować każdy obraz, skrypt, arkusz stylów i inny zasób za pośrednictwem bezpiecznego połączenia. Silktide zgłasza zasoby, które bezpieczna strona ładuje w sposób niezabezpieczony — problem znany jako mieszana zawartość.

Mieszana zawartość występuje, gdy strona udostępniana przez odwołuje się do zasobu z jawnym adresem URL http://:

<!-- Niezabezpieczony zasób na bezpiecznej stronie -->
<script src="http://example.com/analytics.js"></script>

<!-- Udostępnij ten sam zasób w bezpieczny sposób -->
<script src="https://example.com/analytics.js"></script>

Dlaczego to jest ważne

Przeglądarki traktują mieszaną zawartość jako zagrożenie bezpieczeństwa. Aktywna mieszana zawartość (skrypty, arkusze stylów, ramki iframe) jest całkowicie blokowana przez nowoczesne przeglądarki, co może po cichu zakłócić działanie strony. Pasywna mieszana zawartość (obrazy, dźwięk, wideo) może nadal się ładować, ale wywołuje ostrzeżenia i usuwa kłódkę, której użytkownicy oczekują od bezpiecznej witryny.

Pojedynczy niezabezpieczony zasób osłabia też samo szyfrowanie: może zostać odczytany lub zmodyfikowany podczas przesyłania, narażając odwiedzających stronę, którą obiecano zabezpieczyć. Ponadto, ponieważ Twoja przeglądarka może zachowywać się inaczej niż przeglądarki odwiedzających, takie błędy łatwo przeoczyć podczas ręcznego sprawdzania.

Jak to naprawić

Zmień każdy oznaczony adres URL z http:// na https://. Prawie każda usługa obsługuje obecnie HTTPS, więc zwykle wystarczy zaktualizować adres URL.
Jeśli zasób znajduje się w Twojej własnej witrynie, użyj względnych adresów URL (/images/logo.png), aby automatycznie dziedziczył schemat strony.
Jeśli zasób zewnętrzny nie jest dostępny przez HTTPS, zastąp go lub umieść jego kopię na własnym serwerze — przeglądarki nie zrobią dla niego wyjątku.
Przeszukaj szablony i bazę danych pod kątem zakodowanych na stałe adresów URL http://; stara zawartość jest najczęstszym źródłem problemu.

Jak Silktide przeprowadza tę kontrolę

Testuj tylko strony udostępniane przez HTTPS.
Sprawdzaj adresy URL załadowanych zasobów: src obrazów, skryptów, ramek iframe, dźwięku, wideo, źródeł, ścieżek i osadzeń; data obiektów; oraz action formularzy.
Sprawdzaj elementy <link> tylko wtedy, gdy ich rel ładuje zasób (na przykład stylesheet, preload, prefetch, icon, manifest). Łącza nawigacyjne, takie jak canonical i alternate, nie są ładowanymi zasobami, więc są pomijane.
Oznaczaj każdy element, którego adres URL zaczyna się od http://, osobno, aby można było go wyróżnić na stronie.

Rozwiązywanie problemów

Strona wygląda dobrze w mojej przeglądarce

Niektóre przeglądarki automatycznie uaktualniają część mieszanej zawartości do HTTPS lub blokują ją bez widocznych błędów, więc strona może wyglądać dobrze, mimo że gdzie indziej działa nieprawidłowo lub wyświetla ostrzeżenia. Sprawdź konsolę przeglądarki, która wyraźnie wymienia mieszaną zawartość.