Ratgeber Unverschlüsselte Inhalte oder Verlinkungen (Mixed Content)

Mixed Content tritt auf, wenn auf einer HTTPS-Website Inhalte oder Ressourcen wie Bilder, Skripte oder Stylesheets über eine unverschlüsselte HTTP-Verbindung geladen werden. Dies kann Sicherheitsprobleme verursachen und dazu führen, dass Browser Warnungen anzeigen oder bestimmte Inhalte blockieren.

• Sicherheitsrisiken: Unverschlüsselte Ressourcen können von Angreifern manipuliert werden, auch wenn die Hauptseite HTTPS verwendet.
• Warnungen im Browser: Browser wie Chrome und Firefox zeigen Besuchern eine Mixed-Content-Warnung oder blockieren die Inhalte vollständig.
• Schlechte Nutzererfahrung: Blockierte Inhalte können dazu führen, dass deine Website fehlerhaft angezeigt wird oder wichtige Funktionen nicht mehr verfügbar sind.

1. Identifiziere unverschlüsselte Inhalte:
   • Öffne die Entwicklerkonsole deines Browsers (F12) und gehe auf den Reiter „Konsole“ oder „Netzwerk“, um alle Mixed-Content-Warnungen anzuzeigen.
   • Tools wie Why No Padlock? können dir ebenfalls helfen, unverschlüsselte Ressourcen zu finden.
2. Aktualisiere interne Links:
   • Suche im Code nach Verlinkungen, die mit http:// beginnen, und ändere sie auf https:// Beispiel:

     <img src="http://www.beispiel.de/logo.png">

     wird zu:

     <img src="https://www.beispiel.de/logo.png">

3. Lade Ressourcen nur über HTTPS:
   • Falls externe Ressourcen (z. B. Skripte oder Stylesheets) über HTTP eingebunden werden, suche nach einer HTTPS-Version oder lade die Dateien direkt auf deinen Server.
4. Erzwinge HTTPS in deinem Code:
   • Verwende relative URLs oder Protokoll-relative URLs, um sicherzustellen, dass Inhalte automatisch über HTTPS geladen werden. Beispiel:
     <link rel="stylesheet" href="//www.beispiel.de/style.css">
5. Überprüfe eingebettete Inhalte:
   • Videos, iFrames oder andere eingebettete Inhalte sollten ebenfalls über HTTPS geladen werden. Aktualisiere die URLs oder suche nach alternativen Ressourcen.
6. Teste die Änderungen:
   • Lade die Seite neu und überprüfe die Entwicklerkonsole auf weitere Mixed-Content-Warnungen.
7. Richte eine Content Security Policy (CSP) ein:
   • Füge eine CSP in deine HTTP-Header ein, um zu verhindern, dass unverschlüsselte Inhalte geladen werden:

     Content-Security-Policy: upgrade-insecure-requests;

Beispiele & Best Practices

• Vergessene externe Ressourcen: Überprüfe alle externen Ressourcen, ob sie HTTPS unterstützen.
• Nicht unterstützte HTTPS-Verbindungen: Falls ein externer Anbieter kein HTTPS anbietet, ziehe in Betracht, die Datei lokal zu hosten.
• Manuelle Eingaben: Automatisiere die Erkennung von Mixed Content mit Tools oder Skripten, um menschliche Fehler zu vermeiden.

• Mixed Content tritt auf, wenn HTTPS-Seiten HTTP-Ressourcen laden. Dies betrifft oft Bilder, Skripte, Videos und iFrames.
• Moderater Mixed Content wird von Browsern als Warnung angezeigt, während schwerer Mixed Content blockiert wird.
• Verwende immer HTTPS für alle Inhalte, um maximale Sicherheit und Kompatibilität zu gewährleisten.

• Why No Padlock?
• Google-Richtlinien zu Mixed Content
• Content Security Policy (CSP)