Mixed Content ist eine verschlüsselt ausgelieferte Seite, die Teile unverschlüsselt nachlädt. Das Schloss in der Adresszeile verspricht dann mehr, als die Seite hält.
- Mixed Content
Eine verschlüsselt ausgelieferte Seite, die Teile unverschlüsselt nachlädt.
Beispiel: „Nach der Umstellung auf HTTPS blieb ein Bild als Mixed Content zurück.“Auch: gemischte Inhalte. Unterschieden werden aktive Inhalte wie Skripte und passive wie Bilder.
Abgrenzung zur Zertifikatswarnung: Die betrifft die Seite selbst, Mixed Content nur einzelne nachgeladene Teile.
Die beiden Arten von Mixed Content
Aktiv und passiv, mit sehr verschiedener Tragweite. Aktive Inhalte sind Skripte, Stylesheets und eingebettete Rahmen; wer sie unterwegs austauscht, übernimmt die Seite. Passive Inhalte sind Bilder, Töne und Videos; dort beschränkt sich der Schaden darauf, dass sich das Angezeigte verändern lässt und dass die Abrufe mitlesbar sind.
Was Browser heute tun
Sie blockieren das meiste von selbst. Aktive Inhalte über eine unverschlüsselte Adresse werden seit Jahren gar nicht mehr geladen, passive werden stillschweigend auf die verschlüsselte Adresse umgeschrieben oder ebenfalls blockiert. Das Ergebnis ist kein Sicherheitsproblem mehr, sondern ein Darstellungsfehler: Teile der Seite fehlen, und niemand weiß warum.
Wie man die Stellen findet
Über die Entwicklerkonsole und über einen Bericht. Die Konsole meldet jeden blockierten Inhalt mit Adresse; das reicht für eine einzelne Seite. Für eine ganze Website ist die Content Security Policy der schnellere Weg: Die Anweisung upgrade-insecure-requests schreibt die Adressen um, und ein Berichtsempfänger sammelt, wo das nötig war. Dauerhaft gehören die Adressen in den Quelltext korrigiert.