Активний контент за адресами http:// на сторінці HTTPS

Чому це важливо

Скрипти, таблиці стилів і фрейми можуть змінювати решту сторінки, тож браузери блокують їх, коли захищена сторінка запитує їх через HTTP. Google також називає незахищені залежності, крім зображень, на сторінці HTTPS сигналом проти своєї звичайної переваги адреси HTTPS.

Що зробити

Перегляньте знахідку: у ній перелічено до десяти посилань на http:// з їхнім видом, як-от script чи stylesheet, і кількість решти.
Відкрийте кожен файл за його адресою з https:// на початку, щоб підтвердити, що він там віддається, а потім змініть адресу в темі, плагіні чи шаблоні, який його додає.
Якщо файл недоступний через HTTPS, розмістіть копію на власному сайті або замініть його.

Що ми читаємо

Ми читаємо кожну проскановану сторінку, яка закінчується на адресі https:// і відповідає кодом 200 з повним HTML, до 2 МіБ, не виконуючи JavaScript. Ми переглядаємо <script src>, <link rel="stylesheet" href>, <iframe src>, <object data> і <embed src>, пропускаючи ті, що лежать усередині <noscript> чи <template>.

Сторінка фіксується, коли принаймні одну з цих адрес записано з http://; відносні адреси й адреси з // — ні. Сторінка, заголовок Content-Security-Policy чи метатег якої містить upgrade-insecure-requests, не фіксується, навіть коли метатег стоїть поза head, де браузери його ігнорують; політика лише для звітування не враховується. Перевірка не підтверджує, що браузер застосував політику, а самі файли не завантажуються.

Приклад і докази

Ілюстративний приклад — одна сторінка, а не реальний аудит.

https://bakery.example/order/ відповідає кодом 200 і не надсилає Content-Security-Policy. Її HTML містить:

<script src="http://cdn.bakery.example/order.js"></script>

Адреса скрипта використовує http://, тому сторінка фіксується: script: http://cdn.bakery.example/order.js.

Можливе виправлення, щойно файл віддаватиметься через HTTPS:

<script src="https://cdn.bakery.example/order.js"></script>

Підтвердити й перевірити знову

Перевірте самі: відкрийте сторінку в Chrome з інструментами розробника й пошукайте в Console повідомлення "Mixed Content", а також перегляньте вихідний код і знайдіть http:// в атрибутах src, href і data.

Повторна перевірка: Повний аудит — запустіть новий аудит сайту. Знахідка закривається, коли сторінку знову проскановано як повну HTML-сторінку без такого посилання на http:// або з upgrade-insecure-requests у її політиці чи вона тепер постійно переспрямовує в межах вашого сайту. Сторінку, яка є лише каркасом для скриптів або до якої сканування не доходить, підтвердити неможливо.

Обмеження та джерела

Файли, додані через JavaScript або завантажені з CSS, наприклад через @import, перевірка не бачить, а відносна адреса, яку <base href> з http:// на початку перетворює на адресу з http:// на початку, теж не фіксується. Перевірка не показує, чи браузер заблокував файл і чи сторінка помітно зламалася.

Упевненість: Висока, бо кожна адреса зчитується точно так, як її записано в HTML.

Джерела

MDN, Змішаний контент — називає скрипти, таблиці стилів, iframe та об’єкти контентом, який браузери мають блокувати, і каже, що upgrade-insecure-requests переводить ці запити на HTTPS. Перевірено 25 вересня 2026.
Google, Як указати канонічну URL-адресу за допомогою rel="canonical" та іншими способами — називає незахищені залежності, крім зображень, на сторінці HTTPS сигналом проти переваги HTTPS у Google. Перевірено 25 вересня 2026.

Редакційна перевірка: 29 вересня 2026

Захищена сторінка посилається на зображення чи медіа за адресами http:// — зображення, аудіо й відео за адресами з http:// на початку, які залишено на перегляд.

Захищена сторінка посилається на активний контент за адресами http://