Mixed Content auf https-Seiten beheben

Läuft eine Seite über https, lädt aber einzelne eingebundene Inhalte noch über das unverschlüsselte http, spricht man von Mixed Content. EverAudit meldet das als Befund in der Kategorie „Security-Header".

Was ist das Problem?#

Eine Seite kann grundsätzlich verschlüsselt über https ausgeliefert werden und trotzdem einzelne Ressourcen — Bilder, Schriftarten, Stylesheets oder Skripte — über eine http-URL einbinden. Diese einzelnen Elemente durchlaufen dann nicht den Schutz der Hauptverbindung, selbst wenn die Seite als Ganzes „sicher" wirkt.

Typisch ist das bei fest hinterlegten Links wie:

<img src="http://example.com/logo.png">

statt konsequent:

<img src="https://example.com/logo.png">

Browser unterscheiden dabei zwischen aktivem Mixed Content (Skripte, Stylesheets, iframes — wird meist automatisch blockiert) und passivem Mixed Content (Bilder, Videos — wird oft mit Warnsymbol trotzdem geladen).

Warum prüft EverAudit das?#

EverAudit prüft bei jeder gecrawlten https-Seite, ob eingebundene Ressourcen über eine http-URL angefragt werden. Der Befund wird mit hoher Priorität eingestuft, weil Mixed Content ein sichtbares Anzeichen dafür ist, dass die https-Umstellung einer Seite unvollständig geblieben ist — häufig ein Rest aus einer älteren Content-Version oder einem unvollständigen Umzug.

Da einzelne http-Ressourcen oft in Datenbankinhalten, Redakteurstexten oder alten Plugin-Konfigurationen versteckt sind, findet ein manuelles Durchsuchen sie nur selten vollständig — der automatisierte Check deckt sie zuverlässig auf.

Welche Auswirkung hat das?#

Aktive Mixed-Content-Inhalte wie Skripte oder Stylesheets blockieren moderne Browser in der Regel automatisch — das kann Layout oder Funktionalität der Seite sichtbar beeinträchtigen. Passive Inhalte wie Bilder werden dagegen häufig trotzdem geladen, aber mit einem Warnhinweis in der Adresszeile versehen, was bei Besuchern Misstrauen gegenüber der gesamten Seite auslösen kann — auch wenn nur ein einzelnes Bild betroffen ist.

Technisch bedeutet jede http-Ressource zudem eine unverschlüsselte Verbindung, über die sich der Inhalt im ungünstigen Fall manipulieren oder mitlesen lässt, selbst wenn die eigentliche Seite geschützt ist. Für Besucher wirkt eine Seite mit sichtbarer Mixed-Content-Warnung unprofessionell und technisch nicht ausgereift; für Betreiber signalisiert es eine unvollständig durchgeführte https-Migration.

Wie beheben Sie das?#

Gehen Sie systematisch vor, unabhängig vom eingesetzten CMS:

1. Auffinden: EverAudit listet die betroffenen Seiten und Ressourcen konkret auf. Zusätzlich zeigt die Entwicklerkonsole moderner Browser Mixed-Content-Warnungen mit der exakten URL.
2. Umschreiben: Ändern Sie jede gefundene http://-Referenz in eingebundenen Bildern, Skripten, Stylesheets und iframes auf https:// — sofern die Zielressource https unterstützt (bei den meisten modernen Diensten der Fall).
3. Protokollrelative Alternative: Statt eines festen Protokolls kann auch //example.com/logo.png verwendet werden — der Browser übernimmt dann automatisch das Protokoll der aktuellen Seite.
4. Content-Datenbank prüfen: Bei CMS-Systemen liegen viele http-Links im Redaktionsinhalt selbst. Eine Datenbanksuche nach http:// in Content-Feldern deckt diese zuverlässig auf.
5. Content-Security-Policy als Netz: Die Direktive upgrade-insecure-requests in der CSP lässt den Browser http-Anfragen automatisch auf https umschreiben, sofern die Ressource dort ebenfalls erreichbar ist — ersetzt aber nicht das Bereinigen der Quell-URLs.

Fazit#

Mixed Content ist meist kein grundsätzliches https-Problem, sondern ein Aufräumthema: einzelne, oft übersehene http-Links in Content oder Konfiguration. Werden sie konsequent auf https umgestellt, ist die Verschlüsselung der Seite tatsächlich lückenlos statt nur teilweise.