Wat is gemengde inhoud?

Gemengde inhoud: Waarom u geen HTTP-inhoud op uw HTTPS-website moet gebruiken

Door uw website te upgraden naar HTTPS (Hypertext Transfer Protocol Secure) kunt u uw website beschermen tegen cyberbedreigingen door de gegevens tijdens de doorvoer te versleutelen. Na de upgrade worden alle gegevens die naar of door uw website worden verzonden, versleuteld met behulp van een TLS-certificaat (Transport Layer Security). Het TLS-certificaat zal in wezen gegevens in doorvoer vervormen, zodat ze alleen kunnen worden ontcijferd door de juiste gebruikers.

Maar zelfs als uw website een TLS-certificaat heeft geïnstalleerd en geactiveerd, kan het zijn dat het een deel van zijn inhoud over een HTTP-verbinding (Hypertext Transfer Protocol). Een ontwerpfout die bekend staat als gemengde inhoud en die verschillende problemen oplevert voor je website.

Wat is gemengde inhoud?

Gemengde inhoud houdt in dat een HTTPS-webpagina een deel van de inhoud over een HTTP-verbinding laadt. Webpagina's bestaan doorgaans uit meer dan alleen een Hypertext Markup Taal (HTML) bestand; zij kunnen bevatten beelden, video's, scripts, stylesheets en andere soorten inhoud. Als een HTTPS-webpagina inhoud laadt via een HTTP-verbinding, heeft deze gemengde inhoud.

Er zijn twee hoofdtypen gemengde inhoud op websites: passieve en actieve. De eerste bestaat uit HTTP-geladen inhoud die geen interactie heeft met de webpagina waarop hij wordt gepubliceerd, terwijl de tweede bestaat uit HTTP-geladen inhoud die wel interactie heeft met de webpagina waarop hij wordt gepubliceerd.

Afbeeldingen en video's hebben geen interactie met webpagina's, en worden daarom geclassificeerd als passieve gemengde inhoud. Scripts en stylesheets daarentegen kunnen de opmaak of functionaliteit van webpagina's wijzigen, en worden daarom geclassificeerd als actieve gemengde inhoud.

Wat Oorzaken Gemengde inhoud?

In de meeste gevallen is gemengde inhoud het resultaat van een onvolledige migratie van HTTP naar HTTPS. Wanneer u uw website migreert naar HTTPS, moet u de URL's van de geladen inhoud, zodat ze het "https" voorvoegsel hebben. Als een afbeelding zich bijvoorbeeld op "http://example.com/category/image-name.jpg" bevindt, moet u de locatie wijzigen in "https://example.com/category/image-name.jpg".

Het toevoegen van een enkele letter aan de locatie van een afbeelding klinkt misschien onbeduidend, maar het vertelt uw website dat de afbeelding over een HTTPS-verbinding moet worden geladen. Als een afbeelding het standaard "http" voorvoegsel gebruikt in zijn locatie adreszal het in plaats daarvan voor bezoekers via een HTTP-verbinding worden geladen.

Deze regel geldt natuurlijk voor alle vormen van inhoud die gebruikers moeten laden wanneer zij uw website bezoeken. Elk stuk geladen inhoud heeft een URL die de locatie ervan aanduidt. Voor een volledige migratie van HTTP naar HTTPS, moet u al deze URL's updaten. Anders zal uw website gemengde inhoud hebben.

De gevaren van gemengde inhoud

Het onopgemerkt laten van gemengde inhoud kan tot tal van problemen leiden. Om te beginnen kan het voorkomen dat uw website het pictogram van het veilige hangslotje weergeeft naast zijn domein naam. Webpagina's met gemengde inhoud gebruiken een mengeling van zowel HTTP- als HTTPS-verbindingen, en zijn dus niet volledig veilig. Bij het laden van een pagina met gemengde inhoud krijgen bezoekers een "niet veilig"-bericht in de adresbalk van hun browser te zien in plaats van het hangslotpictogram.

Webbrowsers blokkeren gemengde inhoud vaak standaard. Firefox blokkeert bijvoorbeeld automatisch alle actieve gemengde inhoud, terwijl Chrome zowel actieve als passieve gemengde inhoud standaard blokkeert. Bezoekers kunnen nog steeds gemengde inhoud op uw website openen, maar ze moeten dan de optie in hun webbrowser selecteren om de onveilige inhoud te laden. Omdat webbrowsers gebruikers echter waarschuwen voor de gevaren van gemengde inhoud, zullen de meeste gebruikers uw website waarschijnlijk eerder verlaten dan toestaan dat deze wordt geladen.

Aangezien het via een HTTP-verbinding wordt geladen, maakt gemengde inhoud uw website vatbaar voor hacking. HTTPS is ontworpen om een veilige verbinding tot stand te brengen tussen uw website en de gebruikers die deze bezoeken. Wanneer een gebruiker gegevens downloadt van of uploadt naar uw website, zal HTTPS deze gegevens versleutelen. Gemengde inhoud wordt geladen via een HTTP-verbinding, dus alle gegevens die hiermee worden uitgewisseld, zijn niet versleuteld.

Actieve gemengde inhoud is een groot veiligheidsrisico dat hackers kunnen misbruiken voor kwaadaardige doeleinden. Als een hacker de verbinding tussen de bezoekers van uw website en een stuk actieve gemengde inhoud verbreekt, kan hij of zij het uiterlijk of de functionaliteit van uw site wijzigen. Een scriptgebaseerd inlogformulier kan worden veranderd in een vals inlogformulier dat de gegevens van bezoekers steelt, of uw hele website kan worden omgeleid naar een snode spamsite.

Passieve gemengde inhoud is van minder belang omdat er geen interactie is met webpagina's, maar u moet het toch proberen te vermijden. Afbeeldingen die via een HTTP-verbinding worden geladen, kunnen bijvoorbeeld worden gewijzigd. Een hacker kan een afbeelding op uw website vervangen door een advertentie. In plaats van de echte afbeelding te zien, krijgen gebruikers de advertentie van de hacker te zien wanneer ze de webpagina laden.

Tenslotte kan gemengde inhoud een negatieve invloed hebben op de zoeken rankings. HTTPS is een direct rankingsignaal dat door het algoritme van Google wordt gebruikt. Gemengde inhoud verbreekt HTTPS door sommige inhoud via een HTTP-verbinding te laden. HTML-bestanden kunnen nog steeds via een HTTPS-verbinding worden geladen, maar de gemengde inhoud zal een onveilig protocol gebruiken dat de encryptietechnologie van HTTPS ontbeert. Daarom kan Google uw website een lagere ranking geven als deze gemengde inhoud heeft.

Hoe identificeer je gemengde inhoud op je website

Je kunt gemengde inhoud op je website vinden door simpelweg de webpagina's te bezoeken en te zoeken naar een waarschuwing in je webbrowser. Je kunt hiervoor het beste Chrome gebruiken, omdat deze browser van het merk Google zowel passieve als actieve gemengde inhoud blokkeert. Als een pagina gemengde inhoud bevat, zal Chrome deze blokkeren en een waarschuwing weergeven in de buurt van de adresbalk. Bekijk elke webpagina op je website om te bepalen die die leiden tot een waarschuwing voor gemengde inhoud.

Een eenvoudigere manier om gemengde inhoud op uw website te identificeren is het gebruik van JitBit's HTTPS-checker tool. Beschikbaar op jitbit.com/sslcheck, het zal kruipen tot 400 van de pagina's van uw website op zoek naar gemengde inhoud. Als uw website gemengde inhoud heeft, zal JitBit's tool dit onthullen.

Elk stuk geladen inhoud op uw website moet een HTTPS-verbinding gebruiken. Als er inhoud wordt geladen via een HTTP-verbinding, zal uw website gemengde inhoud hebben die schadelijk is voor het verkeer, de veiligheid en de rankings.