Heb je een SSL-certificaat geïnstalleerd, maar zie je toch een open slotje of de melding ‘niet volledig beveiligd’ in de browser? Dan is er waarschijnlijk sprake van mixed content: je pagina laadt via HTTPS, maar bepaalde onderdelen zoals afbeeldingen, scripts of stylesheets worden nog via het onbeveiligde HTTP opgehaald. In dit artikel lees je hoe je deze onderdelen opspoort en permanent oplost.
Wat is mixed content precies
Een moderne browser verwacht dat een HTTPS-pagina volledig via een versleutelde verbinding wordt opgebouwd. Zodra ergens in de broncode nog een link staat die begint met http:// in plaats van https://, bestempelt de browser dit als mixed content. Browsers blokkeren dit soort onderdelen vaak automatisch of tonen een waarschuwing, omdat het een risico vormt: een onbeveiligde afbeelding is vervelend, maar een onbeveiligd script kan misbruikt worden om kwaadaardige code in je pagina te injecteren.
Er zijn twee soorten mixed content: actieve (scripts, stylesheets, iframes) die browsers meestal blokkeren, en passieve (afbeeldingen, video’s) die vaak nog wel laden maar wel een waarschuwing geven.
Mixed content opsporen
De snelste manier om mixed content te vinden is via de ontwikkelaarstools van je browser.
Open de console
Ga naar je website, druk op F12 (of rechtermuisknop > Inspecteren) en open het tabblad Console.
Ververs de pagina
Laad de pagina opnieuw. Mixed content meldingen verschijnen als gele of rode regels met de exacte URL die het probleem veroorzaakt.
Noteer alle gevonden URL’s
Loop alle pagina’s van je site langs, vooral de homepage, templates en veelgebruikte onderdelen zoals de header en footer, en schrijf elke gevonden http-link op.
Stappenplan om het op te lossen
Nadat je weet welke onderdelen het probleem veroorzaken, kun je ze meestal op een van de volgende manieren oplossen.
Pas harde links aan
Zoek in je CMS, thema of plugin-instellingen naar hardgecodeerde http-links in afbeeldingen, logo’s of ingesloten scripts en vervang deze door https.
Controleer externe bronnen
Soms laad je een lettertype, advertentie of widget van een externe partij die alleen http aanbiedt. Vraag de leverancier om een https-variant of verwijder de koppeling.
Gebruik protocol-relatieve of absolute https-links
Vervang verwijzingen door altijd expliciet https:// te gebruiken in plaats van http:// of een protocol-relatieve link (//domein.nl), zodat er geen twijfel meer bestaat.
Forceer een site-brede controle
Overweeg een plugin of functie die automatisch alle http-verwijzingen in de database herschrijft naar https, zodat ook oude content wordt meegenomen.
Test opnieuw
Herlaad de pagina met de console open en controleer of alle meldingen verdwenen zijn. Doe dit voor meerdere pagina’s, niet alleen de homepage.
Alle onderdelen van een pagina moeten via https laden om een volledig groen slotje te krijgen.
Mixed content voorkomen in de toekomst
Zodra je alle meldingen hebt opgelost, wil je voorkomen dat het probleem terugkomt. Zorg dat nieuwe content, afbeeldingen en externe koppelingen altijd met https worden toegevoegd. Controleer ook periodiek of plugins, thema’s of widgets na een update geen nieuwe http-verwijzingen toevoegen.
Je SSL-certificaat zelf beheer je eenvoudig via Plesk; daar zie je ook of het certificaat correct actief is voor je domein. Werk je met zakelijke e-mail op hetzelfde domein, kijk dan ook even bij zakelijke e-mail of alles daar correct staat ingesteld, want een verkeerd ingericht domein kan voor meerdere diensten problemen geven. Twijfel je over je volledige hostingomgeving, dan vind je meer achtergrondinformatie in de kennisbank.
Veelgestelde vragen
Waarom zie ik mixed content pas na een tijdje?
Browsercaches kunnen oude versies van pagina’s bewaren. Leeg je cache of open de site in een incognitovenster om zeker te zijn dat je de actuele situatie ziet.
Kan mixed content mijn SEO beïnvloeden?
Een onveilige of inconsistente beveiliging kan het vertrouwen van bezoekers schaden en indirect invloed hebben op hoe zoekmachines en gebruikers je site waarderen, al is het geen directe technische rankingfactor op zich.
Lost een nieuw SSL-certificaat mixed content automatisch op?
Nee, het certificaat zorgt alleen dat je domein zelf via https bereikbaar is. De losse verwijzingen binnen je pagina’s moet je zelf nog aanpassen naar https.
Conclusie
Mixed content ontstaat doordat losse onderdelen van je pagina nog via http worden geladen terwijl de rest via https werkt. Spoor deze onderdelen op via de browserconsole, vervang de links naar https en controleer periodiek of nieuwe content geen oude verwijzingen meeneemt. Zo laadt je site overal met een volledig groen slotje.