Google Chrome blockiert Mixed Content – Wie du das in WordPress lösen kannst

Seit Jahren schon blockieren moderne Browser wie Chrome und Firefox standardmäßig sogenannte Mixed Content-Ressourcen – darunter zunächst Scripte und Stylesheets, später auch Bilder, Videos und Audio-Dateien. Inhalte, die nicht über HTTPS geladen werden, werden entweder komplett blockiert oder der Nutzer erhält eine Sicherheitswarnung. Hier erfährst du alles darüber, auch, wie du Mixed Content vermeidest.

Was ist „Mixed Content“?

Mixed Content bezeichnet, dass eine Webseite, die eigentlich schon per SSL Zertifikat verschlüsselt ausgeliefert werden soll, aber noch Elemente unverschlüsselt laden will. Das kann sein:

• Scripte (wie zB CSS Dateien, JS Dateien)
• Schriften von externen Servern
• Bilder
• …

In der Regel werden diese Ressourcen geladen in

• Themes
• Plugins
• Seiten oder Beiträgen
• Widgets
• CSS Dateien
• JS Dateien
• PHP Dateien
• …

Wie erkenne ich Mixed Content?

Mixed Content erkennst du in deiner Browser-Konsole (in Chrome und Firefox aufrufbar mit der Tastenkombination Strg+Shift+J oder auch F12). In Chrome klickst du auf „Console“ und siehst dort die Fehlermeldungen. Eine Meldung wie die folgende weist dich darauf hin, dass ein unsicheres Bild hätte geladen werden sollen, aber der Browser hat es blockiert.

Mixed Content: The page at 'https://www.netz-gaenger.de/blog/?p=4759&preview=true' was loaded over HTTPS, but requested an insecure image 'http://www.netz-gaenger.de/blog/wp-content/uploads/2017/01/renedasbeck.png'. This content should also be served over HTTPS.

Heutiges Verhalten moderner Browser

Aktuelle Browser blockieren alle aktiven Mixed Content-Typen automatisch, einschließlich:

• Javascript
• CSS
• Webfonts
• AJAX

Passive Inhalte wie Bilder, Videos und Audios werden ebenfalls blockiert, wenn sie nicht über HTTPS geladen werden. Manuelles Nachladen durch Nutzer ist kaum noch vorgesehen oder mit hohen Hürden verbunden.

Manuelle Freischaltung wie früher (2020): ist heute kaum noch praktikabel – moderne Browser setzen daher stärker auf Sicherheit und lassen unsichere Inhalte schlicht nicht mehr zu.

Übrigens: Wenn du deine Website wie beschrieben überprüfst, mach das nicht nur auf der Startseite, sondern auch auf Unterseiten. Im Prinzip kann Mixed Content auf allen Seiten vorhanden sein, muss es aber nicht durchgängig.

Externe Schriften und Video

Achte auch darauf, dass Drittanbieter-Ressourcen wie Schriftarten, YouTube-Videos oder externe Skripte stets über HTTPS eingebunden werden. Wenn ein Drittanbieter keine HTTPS-Version anbietet, solltest du auf eine alternative Quelle umsteigen oder die Ressource lokal hosten (wenn das geht). Wenn es gar nicht geht, lass das Feature lieber weg, statt Mixed Content zu riskieren.

Wie entsteht Mixed Content?

Meist entsteht Mixed Content, wenn die Migration von http:// auf https:// nicht korrekt abgelaufen ist. Es reicht oft nicht aus, einfach ein SSL Zertifikat beim Webhoster zu bestellen und die Seitenadresse umzustellen. Es gibt in der Regel verschiedene Stellen im Code und der Datenbank, die auf http:// verweisen. Auch eine einfache Weiterleitung von http:// auf https:// ist hier nicht ausreichend. Du musst alle Einträge mit http:// umschreiben.

Wie kann ich Mixed Content loswerden?

Am besten ist es die Migration der Site zu SSL korrekt durchzuführen. Wenn du nicht weißt, wie das zu lösen ist, fragst du am besten den WordPress Profi deines Vertrauens. Ansonsten könntest du folgendes machen:

• Site auf Rechner ziehen per FTP Programm und dann mit einem Textprogramm (wie Notepad++) alle Dateien nach http:// durchsuchen. Einträge ersetzen und wieder hochladen.
• Datenbank migrieren
• Danach wenn möglich alle Seiten mal aufrufen im Browser und checken ob noch Einträge in der Konsole bezüglich Mixed Content vorhanden sind. Wenn ja, dann diese auch noch korrigieren.
• Nutze Tools wie Why No Padlock?, um herauszufinden, ob du auf einer Seite noch Mixed Content Probleme hast.

Wie entferne ich Mixed Content in WordPress?

In WordPress reicht es ebenfalls nicht nur die Site-URL anzupassen. Hier sollte eine Datenbank-Migration stattfinden. Wie die funktioniert, liest du in meinem Artikel, wie man eine SSL Umstellung seiner WordPress Site korrekt durchführt. Kurzform: Schnapp dir ein gutes Migrations-Plugin (wie Migrate DB Pro) und schreibe deine (vorher gesicherte) Datenbank um. Außerdem sollten alle Themes und Plugins nach http:// Aufrufen gescannt werden. Dafür ziehst du dir deine Site oder die relevanten Bestandteile (wp-content/themes/ und wp-content/plugins/ ) auf deinen Rechner und durchsuchst, wie bereits beschrieben, mit deinem Texteditor alle Dateien nach dem Begriff „http://“. Vorhandene Altlasten werden umgeschrieben und die Files (vorher immer Backups ziehen) hochgeladen.

Bei Mixed Content auch den Cache nicht vergessen

Gerade bei Systemen wie WordPress arbeiten Webmaster oft mit Caching-Plugins um die Site schneller zu laden. Wenn du Probleme mit Mixed Content hast oder versuchst zu lösen, solltest du auch den Cache leeren. In ihm können ebenfalls alte Einträge mit unsicheren Requests vorhanden sein.