Finde unverschlüsselte InhalteContentContent ist jede Information, die du auf einer Website bereitstellst, um Nutzer anzusprechen. Das können geschriebene Inhalte wie Blogartikel, aber auch Bilder, Videos oder Infografiken…Mehr lesen, die deine HTTPS-Seite unsicher machen.
Sucht im Quellcode nach Bildern, Skripten und iframes über http://, nach Formularen mit unverschlüsseltem Ziel und prüft Session-Cookies auf die Flags Secure und HttpOnly.
Live-Prüfung ohne serverseitiges Tracking.
Häufige Fragen zu diesem Tool
Wichtiges Hintergrundwissen und SEO-Tipps kurz für dich erklärt.
Grundlagen
Was ist Mixed Content?
Eine per HTTPS geladene Seite bindet einzelne Ressourcen – Bilder, Skripte, Stylesheets – noch über unverschlüsseltes http:// ein. Browser blockieren solche Skripte, markieren die Seite als nicht vollständig sicher und laden Bilder teils automatisch über HTTPS nach.
Warum werden Cookies hier geprüft?
Anmelde- und Sitzungs-Cookies sollten die Flags Secure (nur über HTTPS) und HttpOnly (kein Zugriff per JavaScriptJavaScriptJavaScript ist eine Programmiersprache, die Webseiten interaktiv macht. Während HTML das Grundgerüst und CSS das Design liefert, sorgt JavaScript für Dynamik. Wenn du beispielsweise auf…Mehr lesen) tragen. Fehlen sie, lassen sich Sitzungen leichter übernehmen. Consent- und Statistik-Cookies werden bewusst nicht bewertet.
Praxis & Umsetzung
Wie finde und behebe ich Mixed Content in WordPress?
Meist stehen alte http://-Adressen in Beiträgen, Theme-Einstellungen oder Widgets. Ein Suchen-und-Ersetzen in der Datenbank (z. B. mit dem Plugin „Better Search Replace“) von http://deine-domain.de auf https://deine-domain.de löst das in den meisten Fällen. Vorher ein Backup anlegen.
Was bedeutet „Formular sendet unverschlüsselt“?
Das Ziel des Formulars beginnt mit http://. Eingaben wie Name oder E-Mail-Adresse gehen dann unverschlüsselt über das Netz, und Browser warnen beim Absenden. Stelle das Ziel auf https:// oder eine relative Adresse um.
Reicht eine Weiterleitung von HTTP auf HTTPS nicht aus?
Sie hilft, beseitigt Mixed Content aber nicht: Der Browser stellt die unsichere Anfrage trotzdem zuerst, und aktive Inhalte wie Skripte werden vorher blockiert. Die Adressen im Quelltext sollten direkt auf https:// zeigen.
