Проверка смешанного контента

Что делает проверка смешанного контента

Инструмент сканирует HTTPS-страницу и находит ресурсы, которые загружаются по обычному HTTP. Он выводит обнаруженные ресурсы смешанного контента — скрипты, стили, изображения или iframe, подключённые по адресу http://.

Смешанный контент возникает, когда защищённая страница подключает ресурсы из небезопасного источника. Браузеры считают это угрозой безопасности: небезопасный ресурс можно подменить при передаче, и это потенциально ставит под удар всю страницу, даже если основной документ доставлен по HTTPS.

Почему смешанный контент важен

Браузеры всё активнее блокируют смешанный контент и предупреждают о нём. Активный смешанный контент — скрипты и стили — часто блокируется полностью, потому что он может выполнять код или менять страницу. Пассивный контент — например, изображения — может отображаться с предупреждением или автоматически переводиться на HTTPS. В любом случае страница работает менее надёжно.

Смешанный контент подрывает и доверие пользователей. Сломанный значок замка или предупреждение о безопасности говорят посетителю, что что-то не так, даже если сама страница в остальном защищена. Для сайтов, работающих с чувствительными данными, это особенно вредно.

Как читать результат

Инструмент перечисляет ресурсы, подключённые по небезопасным адресам. Проверьте каждый и решите, насколько он важен. Частые причины — жёстко прописанные HTTP-адреса в шаблонах, сторонние виджеты, у которых нет HTTPS, и контент, вставленный из других источников с абсолютными URL.

Проверьте, доступен ли ресурс по HTTPS. Часто тот же хост поддерживает оба протокола, и достаточно сменить URL. Для сторонних ресурсов без поддержки HTTPS рассмотрите замену или размещение ресурса локально. После исправлений запустите проверку снова, чтобы убедиться, что страница чиста.

Типичные источники смешанного контента

• Жёстко прописанные HTTP-адреса. Старые шаблоны и контент, созданные до перехода на HTTPS.
• Сторонние скрипты и виджеты. Вставки, использующие небезопасные адреса.
• Изображения и медиа. Файлы, размещённые на небезопасных доменах.
• Импорт CSS. Стили, подтягивающие шрифты или фоны по HTTP.
• Пользовательский контент. Вставленный HTML со ссылками http://.

Практический сценарий работы

Запустите проверку на ключевых шаблонах и страницах с контентом. Сначала исправьте активный смешанный контент — он чаще всего ломает функциональность. Обновите жёстко прописанные URL, замените небезопасные сторонние ресурсы, очистите пользовательский контент. Повторяйте проверку после изменений и следите за появлением нового смешанного контента по мере добавления функций.

Ограничения

Проверка изучает ссылки на ресурсы в HTML-ответе. Она может не обнаружить ресурсы, загружаемые скриптами динамически, и не определяет, как конкретный браузер обойдётся с тем или иным случаем смешанного контента.