Краткий ответ: Mixed content означает, что HTTPS-страница всё ещё грузит часть ресурсов (изображения, скрипты, стили) по обычному http://, и браузер их помечает или блокирует. Исправление — отдавать каждый ресурс по HTTPS: обновите жёстко прописанные URL или перепишите их массово в базе/шаблонах.
Обзор
После установки сертификата сама страница шифруется, но её подресурсы — не обязательно. «Активный» mixed content (скрипты, iframe) браузеры блокируют сразу, а из-за изображений страница помечается как не полностью защищённая. Лекарство всегда одно: сделать внутренние URL корректными по протоколу.
Что нужно иметь
- Рабочий сертификат (установить) и доступный HTTPS.
- DevTools браузера — вкладка Console перечисляет каждый заблокированный
http://URL: это ваш список задач.
Пошаговая инструкция
- Откройте сайт через
https://, нажмите F12 → Console и зафиксируйте предупреждения «Mixed Content». - Исправьте URL сайта в конфигурации приложения, чтобы оно генерировало
https://-ссылки (для WordPress: Settings → General, оба поля URL). - Перепишите старые URL в контенте. Для WordPress:
wp search-replace 'http://example.com' 'https://example.com' --skip-columns=guid- Предпочитайте относительные пути (
/images/logo.png) в шаблонах, чтобы проблема не возвращалась. - Добавьте предохранитель в HTTP-заголовки на время чистки:
Content-Security-Policy: upgrade-insecure-requests- Перезагрузите с отключённым кешем и убедитесь, что замок чистый.
Типичные проблемы
- Сторонние встройки без HTTPS: внешний виджет, работающий только по HTTP, с вашей стороны не исправить — замените его.
- CDN или кеш страниц отдаёт старый HTML: очистите кеши после search-replace.
- Жёстко прописанные URL в теме/плагинах: перегрепайте кодовую базу на остатки
http://example.com.
Когда обращаться в поддержку
Mixed content — проблема уровня приложения, но если вы не уверены, относится ли предупреждение о замке к контенту или к самому сертификату, откройте тикет с URL — укажем на виновника.
Частые вопросы
Что именно такое mixed content?
Это страница, загруженная по HTTPS, которая тянет часть ресурсов (скрипты, стили, изображения) по незащищённому HTTP. Браузеры блокируют или помечают такие запросы, ломая замок, а иногда и страницу.
Как найти ресурсы, вызывающие предупреждение?
Откройте страницу, нажмите F12 и посмотрите консоль браузера — каждый заблокированный или незащищённый URL перечислен там с типом, так что вы получаете точный список для исправления.
Полностью ли решает проблему upgrade-insecure-requests?
Это хороший предохранитель: браузеры автоматически переписывают http:// подресурсы на https://. Но базовые URL всё равно стоит исправить, потому что старые браузеры игнорируют этот заголовок.
Похожие статьи
- Как настроить редирект с HTTP на HTTPS
- Как настроить SSL для WordPress
- Как установить бесплатный SSL-сертификат
Готовы начать? Заказать VPS в Cloud2Y →
