Зображення чи медіа за адресами http:// на сторінці HTTPS

Чому це важливо

Зображення, аудіо й відео не можуть змінювати решту сторінки, тож браузери зазвичай переводять їх на HTTPS і запитують через нього; зображення, обрані через srcset чи <picture>, натомість блокуються. У списку Google незахищених залежностей, що працюють проти його переваги HTTPS, зображень немає.

Що зробити

Перегляньте знахідку: у ній перелічено до десяти посилань на http:// з їхнім видом, як-от img чи video, і кількість решти.
Відкрийте кожен файл за його адресою з https:// на початку, щоб підтвердити, що він там віддається, а потім змініть адресу на сторінці, у налаштуваннях медіа редактора вашого сайту чи в шаблоні.
Якщо багато старих дописів містять адреси вашого власного сайту з http:// на початку, інструмент пошуку й заміни може змінити їх разом; спершу зробіть резервну копію.

Коли залишити як є: якщо кожен такий файл завантажується через HTTPS у сучасних браузерах, сторінка працює як є; знахідка залишається відкритою, доки адреси не зміняться, сторінка не надсилатиме upgrade-insecure-requests або не переспрямовуватиме постійно в межах вашого сайту.

Що ми читаємо

Ми читаємо кожну проскановану сторінку, яка закінчується на адресі https:// і відповідає кодом 200 з повним HTML, до 2 МіБ, не виконуючи JavaScript. Ми переглядаємо <img src> і <img srcset>, <audio src>, <video src> та <source src> чи <source srcset> усередині <audio>, <video> або <picture>, пропускаючи ті, що лежать усередині <noscript> чи <template>.

Сторінка фіксується, коли принаймні одну з цих адрес записано з http://; відносні адреси й адреси з // — ні. <source srcset> читається, лише коли його перша адреса використовує http://; тоді перелічуються й інші його адреси з http:// на початку, а інакше їх пропущено. Сторінка, заголовок Content-Security-Policy чи метатег якої містить upgrade-insecure-requests, не фіксується, а файли не завантажуються.

Приклад і докази

Ілюстративний приклад — одна сторінка, а не реальний аудит.

https://bakery.example/menu/ відповідає кодом 200 і не надсилає Content-Security-Policy. Її HTML містить:

<img src="http://bakery.example/img/croissant.jpg" alt="Croissant">

Адреса зображення використовує http://, тому сторінка залишається на перегляд: img: http://bakery.example/img/croissant.jpg.

Можливе виправлення: src="https://bakery.example/img/croissant.jpg" або відносний src="/img/croissant.jpg".

Підтвердити й перевірити знову

Перевірте самі: відкрийте сторінку в Chrome з інструментами розробника й пошукайте в Console повідомлення "Mixed Content", а також перегляньте вихідний код і знайдіть http:// в атрибутах src і srcset.

Повторна перевірка: Повний аудит — запустіть новий аудит сайту. Знахідка закривається, коли сторінку знову проскановано як повну HTML-сторінку без такого посилання на http:// або з upgrade-insecure-requests у її політиці чи вона тепер постійно переспрямовує в межах вашого сайту. Сторінку, яка є лише каркасом для скриптів або до якої сканування не доходить, підтвердити неможливо.

Обмеження та джерела

Перевірка не показує, чи браузер перевів файл на HTTPS або заблокував його і чи існує копія на https:// взагалі. Фонові зображення CSS, файли, додані через JavaScript, атрибути відкладеного завантаження, як-от data-src, <video poster> і <track> не читаються. Зображення, обрані через srcset чи <picture>, залишено на перегляд на тому самому рівні, що й інші, хоча браузери їх блокують.

Упевненість: Висока, бо кожна адреса зчитується точно так, як її записано в HTML.

Джерела

MDN, Змішаний контент — називає зображення, аудіо й відео контентом, який браузери мають запитувати через HTTPS, а зображення, задані через srcset чи <picture>, — таким, що блокується. Перевірено 25 вересня 2026.
Google, Як указати канонічну URL-адресу за допомогою rel="canonical" та іншими способами — називає незахищені залежності на сторінці HTTPS сигналом проти переваги HTTPS у Google, за винятком зображень. Перевірено 25 вересня 2026.

Редакційна перевірка: 29 вересня 2026

Захищена сторінка посилається на активний контент за адресами http:// — скрипти, таблиці стилів, фрейми та вбудовані об’єкти за адресами з http:// на початку, які браузери блокують.

Захищена сторінка посилається на зображення чи медіа за адресами http://