Mixed-Content-Erkennung

Erkennt HTTP-Ressourcen (Bilder, Scripts, Stylesheets), die auf HTTPS-Seiten geladen werden. Mixed Content verursacht Sicherheitswarnungen im Browser, kann Funktionen beeinträchtigen und untergräbt das Vertrauen, das dein SSL-Zertifikat bietet.

So funktioniert es

Der eigenständige Mixed-Content-Check ruft die URL deines Monitors ab (eine einzelne Seite) und prüft deren Ressourcen-Referenzen, um solche zu identifizieren, die über eine unsichere http://-Verbindung geladen werden. Bereits eine einzige Mixed-Content-Ressource kann Browserwarnungen auslösen oder das Rendering in modernen Browsern komplett blockieren.

Der Check gilt nur für HTTPS-Seiten -- ist die Monitor-URL kein https://, wird der Check übersprungen (auf einer HTTP-Seite kann kein Mixed Content auftreten).

Geprüft werden folgende Elemente und Inline-Styles: img, script, link[rel=stylesheet], iframe, video, audio, source, embed, object und form -- dazu Inline-<style>-Blöcke und style-Attribute, die Ressourcen per url() referenzieren.

Scan der gesamten Website

Der eigenständige Check prüft nur die eine URL des Monitors. Um eine komplette Website seitenübergreifend auf Mixed Content zu scannen, aktiviere Mixed Content erkennen bei einem Defekte-Links-Crawl, der jede entdeckte Seite prüft.

Zum Hintergrund: Es gibt zwei konzeptionelle Kategorien von Mixed Content. Browser behandeln sie unterschiedlich, Hoppla ordnet seine Funde aber nicht in diese Kategorien ein:

Kategorie	Beschreibung	Browser-Verhalten
Passiv (optional blockierbar)	Bilder, Audio, Video	Warnung in der Konsole, eventuell beschädigtes Schloss-Symbol
Aktiv (blockiert)	Scripts, Stylesheets, Iframes, Fetch-Anfragen	Wird in allen modernen Browsern standardmäßig blockiert

Das Coole daran: Aktiver Mixed Content ist besonders gefährlich, weil ein Man-in-the-Middle-Angreifer über die unsichere Ressource Schadcode einschleusen könnte. Deshalb blockieren Browser ihn konsequent.

Konfiguration

Einstellung	Beschreibung	Standard
URL	Die HTTPS-Seite, die gescannt wird	Monitor-URL
Check-Intervall	Wie oft gescannt wird	Frei konfigurierbar

Welche Elemente geprüft werden, ist fest vorgegeben und pro Monitor nicht konfigurierbar.

Ergebnisse

Jedes Check-Ergebnis enthält die Anzahl der gefundenen Mixed-Content-Einträge sowie eine Liste der einzelnen Einträge (bis zu 100):

Feld	Beschreibung
Einträge gesamt	Anzahl der auf der Seite gefundenen unsicheren Ressourcen
Ressourcen-URL	Die http://-URL der unsicheren Ressource
Element	Das Element, auf dem sie gefunden wurde (img, script, iframe, style usw.)
Attribut	Das Attribut, das die URL trägt (src, href, data, action, url() oder style)

Beispielergebnis

3 mixed content item(s) found on https://example.com/about:
  - http://cdn.example.com/logo.png   (img, src)
  - http://cdn.example.com/app.js      (script, src)
  - http://maps.example.com/embed      (iframe, src)

Alarme

Ereignis	Auslöser	Schweregrad
warning.mixed_content	Eine oder mehrere Mixed-Content-Ressourcen auf der Seite gefunden	Warnung

Die Warnung enthält die Anzahl der auf der Seite gefundenen Mixed-Content-Einträge. Mixed Content ist vor allem dann kritisch, wenn er aktiv ist (Scripts, Stylesheets, Iframes), denn Browser blockieren ihn standardmäßig und Funktionalität geht verloren.

Häufige Lösungen

• Ersetze http://-URLs durch https:// oder protokollrelative //-URLs
• Verwende Content-Security-Policy: upgrade-insecure-requests als pauschale Lösung
• Aktualisiere fest eingetragene URLs in deinem CMS, in Templates oder in der Datenbank
• Prüfe Drittanbieter-Einbettungen und CDN-Referenzen