Wat Mixed Content Is
Een browser behandelt een pagina als beveiligd alleen als de pagina en alles wat deze laadt via HTTPS is aangekomen. Als een HTTPS-pagina een afbeelding, script, stylesheet, lettertype of iframe uit een http:// adres ophaalt, markeert de browser dit.
Browsers splitsen dit in twee categorieën, en zij gedragen zich heel anders:
- Actieve mixed content: scripts, stylesheets, iframes en XHR. Browsers blokkeren deze volledig. Lay-outs storten in, schuifregelaars stoppen, formulieren stoppen met verzenden. Dit is de destructieve soort.
- Passieve mixed content: afbeeldingen, audio en video. Deze laden meestal nog steeds, maar het hangslotpictogram wordt gedowngrade of verwijderd.
Een site kan er daarom volledig prima uitzien en toch het hangslot verliezen, of er kapot uitzien zonder een duidelijke fout in de pagina zelf.
Waarom Dit Gebeurt Na Het Inschakelen Van SSL
Het inschakelen van SSL verandert hoe uw site wordt bediend. Het verandert niet wat erin is opgeslagen.
WordPress schrijft absolute URL's in de database, dus een site die enige tijd op HTTP draaide, heeft http:// adressen opgeslagen in:
- Post- en paginainhoud, inclusief elke afbeelding die via de editor is ingevoegd.
- Records van mediabestanden.
- Instellingen van de themamaker en themamogelijkheden.
- Widget-inhoud en blok-instellingen.
- Plugin-instellingen, vooral paginabouwers en slider-plugins.
- De
siteurlenhomeopties.
Niets hiervan werkt zichzelf bij. SSL inschakelen en zich vervolgens afvragen waarom het hangslot kapot is, is een van de meest gestelde ondersteuningsvragen, en dit is waarom.
Stap 1: HTTPS Afdwingen Op De Server
Voordat u de database aanraakt, moet u ervoor zorgen dat elke bezoeker eerst op HTTPS belandt.
- Meld u aan bij KPanel en klik op Websites in de linkernavigatiebalk.
- Klik op uw site.
- Open Settings.
- Onder Behavior schakelt u Force HTTPS in.
- Klik op Wijzigingen opslaan.
Elk HTTP-verzoek wordt nu op de server naar HTTPS omgeleid, voordat uw site draait.
Force HTTPS handelt inkomende verzoeken af. Het herschrijft geen URL's die al in uw database zijn opgeslagen, dus alleen dit zal een mixed content-waarschuwing veroorzaakt door een hardcoded http:// afbeelding niet opheffen. U heeft zowel deze als Stap 2 nodig.
Als SSL nog niet actief is, of het certificaat ziet er fout uit, begin dan met SSL Certificates.
Stap 2: De Opgeslagen URL's Herschrijven
Dit is de fix die mixed content daadwerkelijk oploost.
- Open de site, vervolgens het tabblad WordPress, vervolgens de sectie Snelle acties.
- Zoek de kaart Zoeken en vervangen en klik op Configure.
- Voer in Zoeken (oude waarde) in:
http://yourdomain.co.nz. - Voer in Vervangen door in:
https://yourdomain.co.nz. - Laat Test-uitvoering (alleen voorbeeld, geen wijzigingen) aangevinkt en klik op Preview.
- Controleer de telling en de verdeling per tabel.
- Vink Test-uitvoering uit, klik op Run en bevestig.
Er wordt automatisch een volledige back-up gemaakt voordat de vervanging plaatsvindt, en elke tabel wordt gedekt, ook die die door plugins zijn gemaakt. Geserialiseerde plugin-instellingen worden correct verwerkt.
Doe dit niet met een SQL-query in phpMyAdmin. WordPress slaat plugin- en theme-instellingen op als geserialiseerde strings die de lengte van elke waarde vastleggen, dus een ruwe REPLACE() breekt ze en de instellingen worden stilzwijgend teruggezet naar leeg. Er is geen reparatie anders dan het herstellen van een back-up. De volledige uitleg staat in Running a Search and Replace.
Als uw plan de console bevat, is de equivalente opdracht:
search-replace 'http://yourdomain.co.nz' 'https://yourdomain.co.nz' --all-tables --dry-run
Zet --dry-run weg om het toe te passen, en maak jezelf eerst een back-up: de console doet dit niet.
Stap 3: Elke Cache Legen
Een cached kopie van een pagina zal lange na de databasereparatie doorgaan met het serveren van de oude HTTP-URL's, wat is waarom mensen vaak denken dat de vervanging niet werkte.
- WordPress, vervolgens Snelle acties, vervolgens Cache leegmaken.
- WordPress, vervolgens Caching, vervolgens Cache legen, als de full page cache aan is.
- Performance, vervolgens Kapsule CDN, vervolgens Purge, als de CDN aan is. Zie Purging the CDN Cache.
- Elke caching-plugin, van zijn eigen instellingenscherm.
- Uw eigen browser. Test in een privévenster zodat u niet door uw eigen cache wordt misleid.
Stap 4: Vind Wat Over Is
De meeste sites zijn schoon na Stap 2. Als een waarschuwing overblijft, zoek dan de exacte bron in plaats van te gissen.
Browser console. Open ontwikkelaarstools met F12, ga naar het tabblad Console en laad opnieuw. Mixed content verschijnt als een expliciete waarschuwing die de volledige URL van de offending resource noemt. Die URL vertelt u welke plugin of theme verantwoordelijk is.
Network tab. Filter op http:// om elk onveilig verzoek dat de pagina heeft gedaan op te sommen.
Paginabron. Laad de pagina, bekijk bron en zoek naar http://. Negeer alles in xmlns attributen en schema-declaraties: dit zijn identificatoren, geen verzoeken.
Veelvoorkomende overlevenden en wat u met elk moet doen:
| Wat u vindt | Fix |
|---|---|
| Een afbeelding of logo in een themamaker-instelling | Upload opnieuw of selecteer het opnieuw in de maker |
Een paginabouwmodule met een getypte http:// afbeeldings-URL | Bewerk die module en corrigeer de URL |
| Een slider-plugin's eigen instellingentabel | Sla de slider opnieuw op, of voer de zoeken-en-vervangen uit met --all-tables |
| Een lettertype of script van een derde domein | Controleer of de provider HTTPS aanbiedt. Dat doen de meeste nu wel. Wissel de URL |
| Een tracking pixel of embed van een oude leverancier | Als de leverancier geen HTTPS heeft, verwijder het. Het is een verbroken afhankelijkheid, geen KapsuleHost-probleem |
Hardcoded http:// in een themasjabloonbestand | Bewerk het sjabloon, of beter, gebruik https of een protocolrelatieve referentie |
Als precies één pagina wordt beïnvloed en de rest van de site schoon is, is de schuldige inhoud op die pagina, niet een siteomvattende instelling. Open het in de editor en bekijk de media die het insluit.
Bevestigen Dat Het Is Opgelost
- Laad de site in een privévenster.
- Het hangslot moet solide zijn, zonder waarschuwingsdriehoek en zonder doorgestreepte indicatie.
- Klik op het hangslot. De browser meldt dat de verbinding beveiligd is zonder mixed content-opmerking.
- Open de console en laad nog een keer opnieuw. Nul mixed content-waarschuwingen.
- Controleer een diepere pagina, niet alleen de startpagina: een binnenpagina, een blogbericht met afbeeldingen en de checkout in een winkel.
Het Voorkomen Dat Het Terugkomt
- Laat Force HTTPS ingeschakeld. Het is een één-regel instelling die een hele klasse van problemen elimineert.
- Typ nooit een volledige
http://URL in inhoud. Gebruik de mediabibliotheek, die nu HTTPS-adressen opslaat. - Controleer plugin-instellingen na het installeren van iets dat om een URL vraagt.
- Let op voor een terugkerende waarschuwing na een plugin-update. Sommige plugins stellen hun eigen opgeslagen URL's opnieuw in.
- Voer de zoeken-en-vervangen opnieuw uit na een migratie, omdat een geïmporteerde database de URL's van de oude host met zich meebrengt: Migrating a Website From cPanel.
Problemen Oplossen
Het hangslot is prima voor mij, kapot voor een collega. Cached pagina. Laat hen in een privévenster opnieuw laden.
De site is volledig kapot na de vervanging. Herstel de automatische pre-run back-up: Restoring From a Backup.
De console toont een mixed content-waarschuwing op een domein dat niet van mij is. Een derde resource. U kunt hun server niet repareren: ofwel ondersteunen zij HTTPS en wissel u de URL, ofwel u verwijdert de resource.
Alles is HTTPS maar de site zal helemaal niet laden. Dat is geen mixed content. Begin met Website Not Loading en controleer het certificaat op SSL Certificates.
Als u dit alles hebt doorlopen en de waarschuwing blijft bestaan, e-mail dan support@kapsulehost.com met de getroffen URL en de exacte tekst van de waarschuwing van de browserconsole.