Gemengde inhoud ontstaat wanneer een veilig geladen pagina bronnen gebruikt die via een onveilige verbinding worden opgevraagd. De Mixed Content Checker van Screpy vindt HTTP-bronverwijzingen in de bron-HTML van één openbare HTTPS-pagina en toont categorie, adres, eerste bronregel en aantal voorkomens. Met die gegevens kun je de verantwoordelijke inhoud of het sjabloon vinden en een veilige vervanging voorbereiden.
Het rapport voert de pagina niet uit en vraagt de genoemde bronnen niet op. Het identificeert bronverwijzingen om te onderzoeken, geen overzicht van wat de browser van een bezoeker werkelijk laadde, naar HTTPS opwaardeerde of blokkeerde. Een geslaagde controle certificeert ook niet de veiligheid van de hele website.
Controleer de HTTPS-pagina met de verwijzingen
Voer het volledige openbare adres in van de pagina die je wilt onderzoeken. Gebruik voor een artikel de eigen URL, zoals het illustratieve https://example.com/guides/setup/, in plaats van de homepage of de afbeelding die je onveilig vermoedt. De tool onderzoekt één aangeleverde pagina en ontdekt niet alle pagina’s van het domein.
De invoer vereist HTTPS. Lees na de controle de uiteindelijke URL, want doorverwijzingen kunnen de onderzochte pagina veranderen. Eindigt een HTTPS-adres bij HTTP, dan is HTTPS-analyse van gemengde inhoud niet van toepassing. Dat is geen schoon resultaat. Gebruik de Redirect Checker voor een onverwachte bestemming.
De pagina moet leesbare openbare HTML terugsturen. Een inlogscherm kan andere verwijzingen bevatten dan de afgeschermde pagina erachter. Een niet-beschikbare respons, een niet-ondersteund document of een mislukte aanvraag laat de gevraagde controle onvoltooid; het bewijst niet dat onveilige verwijzingen ontbreken.
Lees blokkeerbare bronnen, mogelijke upgrades en formulierdoelen
Gebruik het categoriefilter om de tabel te richten en bekijk het element en attribuut naast elk adres. De categorieën beschrijven hoe deze tool ondersteunde HTTP-verwijzingen groepeert; het zijn geen waargenomen browserresultaten.
| Categorie | Voorbeelden in dit rapport | Wat je onderzoekt |
|---|---|---|
| Blokkeerbaar, rood | Scripts, stylesheets, frames en srcset-kandidaten van responsieve afbeeldingen |
Zoek de bron en bevestig een geschikte HTTPS-vervanging. |
| Mogelijke upgrade, amber | Ondersteunde afbeeldings-, audio- en videobronnen | Controleer of de bedoelde bron werkelijk via HTTPS werkt; automatisch upgraden bewijst geen beschikbaarheid. |
| Onveilig formulierdoel, oranje | action van een formulier of formaction van een knop/input |
Bevestig de bedoelde veilige verzendbestemming voordat je het formulier wijzigt. |
De checker onderzoekt ook ondersteunde verwijzingen van objecten, afbeeldingsinputs, videoposters en bepaalde linkrelaties. Afbeeldings- of media-URL’s met een IP-adres als host worden als blokkeerbaar ingedeeld in plaats van als mogelijke upgrade.
De huidige uitleg over gemengde inhoud onderscheidt upgradebare en blokkeerbare aanvragen. Het werkelijke gedrag hangt ook af van browserregels en beveiligingsbeleid. Deze bronclassificatie beoordeelt niet elke uitzondering, waaronder mogelijk betrouwbare lokale adressen. Behandel een rode rij niet als bewijs dat een specifieke browser de aanvraag heeft geblokkeerd.
Formulierdoelen zijn een aparte categorie. De sectie over formulierverzending in de mixed-content-specificatie behandelt browserwaarschuwingen los van gewone broncontroles. Screpy verstuurt deze formulieren niet en bepaalt niet welke informatie ze verzamelen. Onderzoek het doel van een echt formulier zonder gevoelige testgegevens naar een ongecontroleerde bestemming te sturen.
Herleid gegroepeerde bevindingen tot de bron
De tabel combineert voorkomens met hetzelfde element, attribuut, dezelfde classificatie en opgeloste URL. Hetzelfde adres in een ander element of attribuut kan dus een aparte rij krijgen. De getoonde regel is het eerste voorkomen van de groep in de opgehaalde HTML, niet noodzakelijk een regel in je sjablooneditor.
Dit fictieve fragment bevat vier HTTP-verwijzingen:
<script src="http://static.example.com/site.js"></script>
<img src="http://static.example.com/logo.png" alt="Example homepage">
<img src="http://static.example.com/logo.png" alt="Example homepage">
<form action="http://example.com/contact/" method="post"></form>
| Groep | Voorkomens | Classificatie |
|---|---|---|
script[src] eindigend op /site.js |
1 | Blokkeerbaar |
img[src] eindigend op /logo.png |
2 | Mogelijke upgrade |
form[action] eindigend op /contact/ |
1 | Onveilig formulierdoel |
De samenvatting telt één blokkeerbare verwijzing, twee mogelijke upgrades en één formulierverwijzing: vier voorkomens in drie rijen. Dat betekent geen vier unieke bestanden of vier bevestigde netwerkaanvragen. Het voorbeeld verklaart de groepering, geen live scan of volledig werkend contactformulier.
Zoek elk voorkomen van een herhaalde verwijzing in de verantwoordelijke inhoud of gedeelde component. Alleen de eerste getoonde regel corrigeren kan een ander exemplaar ongewijzigd laten. Bekijk de werkelijke brontekst rond die regel voordat je bepaalt welk CMS-veld, welke thema-instelling of welk sjabloon die uitvoert.
Controleer basis-URL’s voordat je relatieve paden verandert
De getoonde bron-URL wordt opgelost ten opzichte van de effectieve documentbasis. Zonder aangepaste basis gebruiken relatieve paden de uiteindelijke pagina-URL. Een HTTP-<base href> kan een relatieve verwijzing juist naar HTTP laten verwijzen terwijl de pagina via HTTPS is opgehaald.
Bekijk voor een fictieve pagina op https://example.com/guides/setup/ dit fragment:
<head><base href="http://static.example.com/assets/"></head>
<body><img src="logo.png" alt="Example homepage"></body>
De afbeelding wordt opgelost als http://static.example.com/assets/logo.png, niet als een bestand onder de map van de HTTPS-pagina. Een protocolrelatieve verwijzing zoals //static.example.com/assets/logo.png gebruikt eveneens het schema van de basis. Alleen http: verwijderen garandeert dus geen veilige bestemming.
De HTML-base-referentie legt uit hoe de eerste toepasselijke basis relatieve URL’s bepaalt. Onderzoek de basis en bedoelde bestandslocatie samen. Een wijziging kan andere bronnen, navigatie en formulierdoelen beïnvloeden; verwijder een bewuste basis niet zonder die gevolgen te beoordelen. Een expliciet, werkend HTTPS-bronadres kan de bedoelde vervanging duidelijker maken.
Vervang de onveilige verwijzing door een werkende HTTPS-bestemming
Begin waar de verwijzing wordt gemaakt. Een oude afbeeldings-URL kan in een artikelveld, logo-instelling of gedeeld sjabloon staan; een ingebed script kan uit de code van een integratie komen. Corrigeer die bron in plaats van gegenereerde HTML die de volgende publicatie overschrijft. Vermijd het blind vervangen van ongerelateerde http://-teksten op de hele website.
Controleer de voorgestelde HTTPS-bestemming voordat je die gebruikt. Ze moet de bedoelde afbeelding, het script of de andere bron leveren zonder onverwachte doorverwijzing, toegangsscherm of afwijkende inhoud. Deze checker heeft die aanvraag niet gedaan. http://static.example.com/site.js wijzigen naar HTTPS kan mislukken als de host hetzelfde bestand niet veilig aanbiedt.
Heeft een externe afhankelijkheid geen geschikte veilige versie, vraag dan om een ondersteund alternatief of bepaal of de functie moet worden verwijderd of vervangen. Wissel niet stil een ongerelateerd bestand in om een bevinding weg te werken. Controleer bij een formulier het ontvangende endpoint en verwachte gedrag, niet alleen de spelling van het adres.
Een Content Security Policy met upgrade-insecure-requests kan browseraanvragen wijzigen terwijl HTTP-verwijzingen in de bron blijven. Zoals de documentatie van de richtlijn uitlegt, kan een onbeschikbare HTTPS-bron mislukken zonder terug te vallen op HTTP. Dat bewijst niet dat elke opgewaardeerde bron werkt. Gebruik de HTTP Headers Checker voor afzonderlijke inspectie van gedeclareerde antwoordheaders; vervang bestaand beleid niet blind en schakel browserbeveiliging niet uit om het probleem te verbergen.
Controleer de gepubliceerde bron én browseraanvragen
Bewaar het oorspronkelijke rapport samen met de bedoelde vervanging voordat je wijzigingen maakt. De JSON-download behoudt de bewaarde bevindingen en groepen; een categoriekeuze verandert de tabel, niet de volledige rapportdownload. Deze tool biedt geen CSV-export of automatisch herstel.
- Publiceer de gecorrigeerde inhoud, instelling of het sjabloon en controleer dezelfde HTTPS-pagina zodra de bijgewerkte respons beschikbaar is.
- Vergelijk de betrokken URL, het element, attribuut en aantal voorkomens. Een lager totaal kan een andere resterende verwijzing verbergen; bekijk de rijen en niet alleen de samenvatting.
- Open de pagina in een browser en bekijk consolewaarschuwingen en netwerkaanvragen. Probeer de betrokken afbeelding, media of functie; het bronrapport voert zulke interacties niet uit.
- Controleer andere pagina’s met hetzelfde gewijzigde sjabloon. Een herstelde homepage bewijst niet dat elk product of artikel is aangepast.
Chrome’s handleiding voor het beveiligingspaneel beschrijft hoe je vanuit onveilige origins naar de bijbehorende netwerkaanvragen gaat. Browserwaarnemingen kunnen aanvragen uit scripts of stijlen tonen die deze broncode-tool niet onderzoekt. Ze kunnen ook een opgewaardeerde of geblokkeerde aanvraag laten zien terwijl de oorspronkelijke bron nog HTTP bevat.
Houd die waarnemingen uit elkaar: een gecorrigeerde bronverwijzing en een geslaagde browseraanvraag beantwoorden verschillende vragen. Geen van beide bewijst afzonderlijk dat alle inhoud, elke browser of de hele website veilig is.
Begrijp ontbrekende bevindingen en gedeeltelijke dekking
De checker accepteert maximaal 2 MiB HTML en bewaart maximaal 1.000 HTTP-verwijzingen in 200 gegroepeerde rijen. Verhindert een resultaatlimiet het bewaren van meer bewijs, dan wordt de dekking gedeeltelijk en is het volledige verwijzingstotaal onbekend. De samenvatting beschrijft dan het bewaarde deel. Een onbereikbare bron of HTML boven de limiet maakt de gevraagde controle juist niet beschikbaar.
Geen bevindingen betekent dat in de onderzochte bronscope geen ondersteunde HTTP-verwijzingen zijn gevonden. Het omvat geen JavaScript-aanvragen, CSS-url()-waarden, inhoud van externe stylesheets, geneste framedocumenten of alle mogelijke bronattributen. Bronverwijzingen worden ook niet op redirects gecontroleerd: een oorspronkelijk HTTPS-attribuut lezen stelt niet vast of de bron later naar HTTP doorstuurt.
Gewone navigatielinks zijn uitgesloten, waaronder een normale link naar een HTTP-pagina. Downloadgedrag en de veiligheid van de bestemming vragen apart onderzoek; ontbreken in deze tabel keurt ze niet goed. Gebruik de Internal Link Analyzer voor vragen over uitgaande links in plaats van ingebedde bronnen.
Bewaar bij een gedeeltelijk rapport de scope met de JSON-download en onderzoek resterende bronverwijzingen apart. Getoonde rijen verwijderen bewijst niet dat weggelaten verwijzingen zijn hersteld. Controleer opnieuw na wijzigingen en bewaar het eerdere rapport, zodat een bevestigde correctie te onderscheiden blijft van nooit onderzocht bewijs.