Mixed content: на сайте с HTTPS часть ресурсов грузится по HTTP

Что значит mixed content

Справка MDN делит ресурсы на два вида:

• Улучшаемые (картинки, аудио, видео). Современные браузеры сами меняют http:// на https://. Исключение: если адрес указан как IP-адрес, ресурс блокируется.
• Блокируемые (скрипты, стили, iframe, шрифты, запросы fetch и XMLHttpRequest). Браузер не загружает их совсем.

Поэтому симптом бывает разный: пропали стили и страница «рассыпалась», не работает меню или форма, не показывается карта или виджет.

Шаг 1. Найдите проблемные адреса

1. Откройте страницу, нажмите F12 и перейдите на вкладку «Консоль».
2. Обновите страницу. Ищите записи со словами «Mixed Content»: в них указан тип ресурса и адрес http://....
3. Повторите для главной, страницы записи, каталога и страницы с формой: ссылки в шаблонах и в содержимом разные.

Второй способ: «Просмотр кода страницы» и поиск по http://. Ссылки на другие сайты (<a href>) проблемой не являются, смотрите только src, href у <link>, url() в стилях и iframe.

Шаг 2. Определите, где хранится адрес

Шаг 3. Исправьте адреса

Сделайте копию файлов и базы до замены.

WordPress

1. В «Настройки → Общие» поля «Адрес WordPress (URL)» и «Адрес сайта (URL)» должны начинаться с https:// (документация WordPress). После смены проверьте, что нет петли редиректов.
2. Замените адреса в базе. WP-CLI понимает сериализованные данные, которые простая замена в SQL ломает (WP-CLI search-replace). Сначала пробный запуск без записи:

wp search-replace 'http://example.ru' 'https://example.ru' --skip-columns=guid --dry-run

Результат совпал с ожидаемым, повторите без --dry-run. Столбец guid не меняют: по документации WordPress его содержимое трогать нельзя ни при каких обстоятельствах.

3. Проверьте файлы темы и плагинов: grep -rn "http://example.ru" wp-content/themes wp-content/plugins.
4. Конструкторы страниц и плагины кеша хранят стили и копии страниц отдельно. После замены очистите их кеш и пересоздайте файлы стилей.

1С-Битрикс

Ссылки хранятся в трёх местах: в файлах шаблона сайта (local/templates/ или bitrix/templates/), в файлах страниц публичной части и в содержимом инфоблоков. Найдите файлы: grep -rn "http://example.ru" local/ bitrix/templates/ --include=*.php. Содержимое инфоблоков меняйте в админке или запросом после копии базы. Не заменяйте http:// по всей базе вслепую: часть данных хранится в сериализованном виде.

Внешние сервисы

Откройте адрес сервиса по https:// вручную. Если ответа нет или предупреждение о сертификате, сервис не поддерживает HTTPS: выберите другой или уберите блок.

Шаг 4. Временная мера: заголовок upgrade-insecure-requests

Директива заставляет браузер подменять http:// на https:// у всех подзапросов страницы до отправки (MDN). Пример для nginx:

add_header Content-Security-Policy "upgrade-insecure-requests" always;

Ограничения: если ресурс по HTTPS недоступен, запрос просто упадёт, без возврата на HTTP. Заголовок не меняет переходы по ссылкам на чужие сайты. Он прикрывает проблему, но не исправляет её: адреса в базе и шаблонах всё равно нужно заменить.

Шаг 5. Проверка

1. Консоль на ключевых страницах без записей «Mixed Content».
2. Страница выглядит как раньше: стили, шрифты, формы, карта.
3. Поиск по коду страницы не находит http:// у src и в стилях.
4. В файле robots.txt, карте сайта и разметке canonical адреса начинаются с https://, и https-версия сайта добавлена в Яндекс Вебмастер и Search Console.

Когда нужен специалист

• Адреса зашиты в тему или плагин, который вы не разрабатывали.
• Сайт на Битриксе с большим числом инфоблоков.
• Замена в базе затронула сериализованные данные, и что-то сломалось.
• Нет резервной копии и нет уверенности в замене.
• После перехода на HTTPS пропали позиции и нужно проверить редиректы и индексацию.

Сколько стоит решение у нас

Диапазоны ориентировочные, ставка 3 800 ₽ в час. Точную оценку присылаем до начала работ. Все цены.

Частые вопросы