Mieszana zawartość: strona z https wygląda źle albo nie ma kłódki

Najpierw sprawdź adres

Jeśli adres strony w przeglądarce zaczyna się od http://, a nie od https://, brak kłódki to nie mieszana zawartość, tylko brak przekierowania. Zobacz przekierowanie z http na https. Ten poradnik dotyczy stron, które otwierają się przez https://, ale wyglądają albo działają źle.

Co to jest mieszana zawartość

Strona otwarta przez https:// jest szyfrowana, ale sama może wczytywać inne pliki: obrazki, czcionki, style i skrypty. Jeśli któryś z nich ma adres zaczynający się od http://, to mieszana zawartość (po angielsku mixed content).

• Skrypty, style, czcionki, ramki i zapytania skryptów z http:// przeglądarka blokuje. Strona może się wtedy rozjechać albo przestać działać, np. menu czy formularz.
• Obrazki, dźwięk i wideo z http:// przeglądarka próbuje wczytać przez https://, a jeśli się nie da, blokuje je. Obrazki w wersjach dla różnych ekranów (np. z atrybutem srcset, którego używa WordPress) i z adresem IP zamiast domeny są blokowane od razu.
• Ikona przy adresie zwykle się przy tym nie zmienia. Ostrzeżenie pojawia się tylko wtedy, gdy niezabezpieczony plik jednak się wczyta (np. po zezwoleniu na niebezpieczne treści w ustawieniach strony): w Chrome „Połączenie nie jest całkiem bezpieczne”, w Firefoksie kłódka z wykrzyknikiem albo przekreślona.

Jak znaleźć pliki z http://

1. Otwórz stronę i naciśnij F12 (na Macu Cmd+Option+J w Chrome albo Cmd+Option+K w Firefoksie). W narzędziach przeglądarki przejdź do zakładki „Konsola” (Console).
2. Odśwież stronę. W Chrome i Edge wpisy o problemach zaczynają się od „Mixed Content”, a w Firefoksie zawierają słowa „mieszanych treści” albo „mieszanej (niezabezpieczonej)”. Przy każdym jest pełny adres pliku zaczynający się od http://.
3. Sprawdź każdą podstronę, która wygląda albo działa źle. Często problem jest tylko w jednym miejscu, np. w stopce albo w logo.

WordPress

Zacznij dopiero wtedy, gdy https://twojadomena.pl otwiera się bez ostrzeżenia. Inaczej możesz stracić dostęp do kokpitu. Zrób też kopię zapasową strony i bazy danych (wiele hostingów ma ją w panelu).

Najprościej (WordPress 5.7 i nowsze): w kokpicie wybierz „Narzędzia” → „Stan witryny”. Jeśli widzisz informację, że witryna nie używa połączenia HTTPS, kliknij przycisk aktualizacji witryny do HTTPS. WordPress zmieni wtedy adres strony i sam będzie podmieniał stare adresy http w treści przy jej wyświetlaniu.

Ręcznie:

1. Wybierz „Ustawienia” → „Ogólne”. W polach „Adres WordPressa (URL)” i „Adres witryny (URL)” zmień http:// na https:// i zapisz. WordPress poprosi o ponowne zalogowanie. Jeśli pola są wyszarzone, adresy są wpisane w pliku wp-config.php (WP_HOME i WP_SITEURL) i tam trzeba je zmienić.
2. Stare adresy zostają w treści wpisów i stron. Zamień je wtyczką do wyszukiwania i zamiany w bazie, np. Better Search Replace: zaznacz wszystkie tabele, szukaj http://twojadomena.pl, zamień na https://twojadomena.pl. Najpierw uruchom próbę bez zapisu (opcja „na sucho”, po angielsku dry run). Zamień też wariant z www: http://www.twojadomena.pl.
3. Sprawdź ustawienia motywu i kreatora stron (logo, tło, czcionki), bo czasem mają zapisane pełne adresy.
4. Wyczyść pamięć podręczną wtyczki przyspieszającej stronę (jeśli jej używasz) i przeglądarki.

Inne strony i sklepy

• W szablonach i plikach strony zamień http://twojadomena.pl na https://twojadomena.pl albo na adresy względne (zaczynające się od /).
• W ustawieniach sklepu albo systemu (np. adres sklepu, adres bazowy) wpisz adres z https://.
• Pliki z innych serwisów (mapy, filmy, czcionki, widżety) też muszą mieć adres z https://. Prawie każdy serwis go ma; wystarczy zmienić początek adresu.

Szybka pomoc na serwerze Apache albo LiteSpeed

Jeśli nie możesz od razu poprawić adresów, na serwerze Apache albo LiteSpeed (tak działa większość hostingów współdzielonych) możesz poprosić przeglądarkę, żeby sama wczytywała pliki przez https://. Dopisz na początku pliku .htaccess w katalogu strony:

<IfModule mod_headers.c>
Header always set Content-Security-Policy "upgrade-insecure-requests"
</IfModule>

To działa tylko wtedy, gdy pliki są dostępne także przez https://. Traktuj to jako rozwiązanie tymczasowe i popraw adresy u źródła. Jeśli hosting nie ma modułu do nagłówków, te linie po prostu nic nie zrobią.

Sprawdzenie

Odśwież stronę z pominięciem pamięci podręcznej (Ctrl+F5, na Macu Cmd+Shift+R). Strona powinna wyglądać i działać normalnie, a w konsoli nie powinno być już wpisów o mieszanej zawartości. Zadbaj też o to, żeby wszyscy trafiali na wersję z https: opisujemy to na stronie Przekierowanie z http na https.