Google Chrome blockiert Mixed Content – Wie du das in WordPress lösen kannst

Google hat schon angekündigt ab Ende 2019 / Anfang 2020 die Auslieferung von Webseiten mit Mixed Content zu blockieren. In einem ersten Schritt wird versucht die Inhalte per SSL zu laden, die per http:// angefordert werden sollen, danach wird direkt komplett blockiert und der User hat die Möglichkeit die Inhalte manuell nachzuladen. Generell alles sehr unschön. Die Site wird natürlich als „unsicher“ markiert. Bereits jetzt blockiert Google Scripte und andere Ressourcen, die auf eigentlich SSL verschlüsselten Webseiten per http:// geladen werden sollen. Was du tun kannst, damit deine Site nicht blockiert wird, liest du hier.

Nachtrag vom 30.03.2020: Google wird am 7.4.2020 mit der Version 81 des Chrome Browsers alle Mixed Content Inhalte blockieren.

Was ist „Mixed Content“?

Mixed Content bezeichnet, dass eine Webseite, die eigentlich schon per SSL Zertifikat verschlüsselt ausgeliefert werden soll, aber noch Elemente unverschlüsselt laden will. Das kann sein:

• Scripte (wie zB CSS Dateien, JS Dateien)
• Schriften von externen Servern
• Bilder
• …

In der Regel werden diese Ressourcen geladen in

• Themes
• Plugins
• Seiten oder Beiträgen
• Widgets
• CSS Dateien
• JS Dateien
• PHP Dateien
• …

Wie erkenne ich Mixed Content?

Mixed Content erkennst du in deiner Browser-Konsole (in Chrome und Firefox aufrufbar mit der Tastenkombination Strg+Shift+J oder auch F12). In Chrome klickst du auf „Console“ und siehst dort die Fehlermeldungen. Eine Meldung wie die folgende weist dich darauf hin, dass ein unsicheres Bild hätte geladen werden sollen, aber der Browser hat es blockiert.

Mixed Content: The page at 'https://www.netz-gaenger.de/blog/?p=4759&preview=true' was loaded over HTTPS, but requested an insecure image 'http://www.netz-gaenger.de/blog/wp-content/uploads/2017/01/renedasbeck.png'. This content should also be served over HTTPS.

In Google Chrome wird ab der Version 80 ein Hinweis erscheinen, dass erste unsichere (Inhalte zB Videos) blockiert wurden (insecure content blocked). Ab Version 81 werden auch unsichere Bilder blockiert. Der User kann das zwar dann freischalten, erhält aber den Hinweis, dass die Auslieferung der Site nicht sicher ist („not secure“).

Übrigens: Wenn du deine Website wie beschrieben überprüfst, mach das nicht nur auf der Startseite, sondern auch auf Unterseiten. Im Prinzip kann Mixed Content auf allen Seiten vorhanden sein, muss es aber nicht durchgängig.

Wie entsteht Mixed Content?

Meist entsteht Mixed Content, wenn die Migration von http:// auf https:// nicht korrekt abgelaufen ist. Es reicht oft nicht aus, einfach ein SSL Zertifikat beim Webhoster zu bestellen und die Seitenadresse umzustellen. Es gibt in der Regel verschiedene Stellen im Code und der Datenbank, die auf http:// verweisen. Auch eine einfache Weiterleitung von http:// auf https:// ist hier nicht ausreichend. Du musst alle Einträge mit http:// umschreiben.

Wie kann ich Mixed Content loswerden?

Am besten ist es die Migration der Site zu SSL korrekt durchzuführen. Wenn du nicht weißt, wie das zu lösen ist, fragst du am besten den WordPress Profi deines Vertrauens. Ansonsten könntest du folgendes machen:

• Site auf Rechner ziehen per FTP Programm und dann mit einem Textprogramm (wie Notepad++) alle Dateien nach http:// durchsuchen. Einträge ersetzen und wieder hochladen.
• Datenbank migrieren
• Danach wenn möglich alle Seiten mal aufrufen im Browser und checken ob noch Einträge in der Konsole bezüglich Mixed Content vorhanden sind. Wenn ja, dann diese auch noch korrigieren.

Wie entferne ich Mixed Content in WordPress?

In WordPress reicht es ebenfalls nicht nur die Site-URL anzupassen. Hier sollte eine Datenbank-Migration stattfinden. Wie die funktioniert, liest du in meinem Artikel, wie man eine SSL Umstellung seiner WordPress Site korrekt durchführt. Kurzform: Schnapp dir ein gutes Migrations-Plugin (wie Migrate DB Pro) und schreibe deine (vorher gesicherte) Datenbank um. Außerdem sollten alle Themes und Plugins nach http:// Aufrufen gescannt werden. Dafür ziehst du dir deine Site oder die relevanten Bestandteile (wp-content/themes/ und wp-content/plugins/ ) auf deinen Rechner und durchsuchst, wie bereits beschrieben, mit deinem Texteditor alle Dateien nach dem Begriff „http://“. Vorhandene Altlasten werden umgeschrieben und die Files (vorher immer Backups ziehen) hochgeladen.

Bei Mixed Content auch den Cache nicht vergessen

Gerade bei Systemen wie WordPress arbeiten Webmaster oft mit Caching-Plugins um die Site schneller zu laden. Wenn du Probleme mit Mixed Content hast oder versuchst zu lösen, solltest du auch den Cache leeren. In ihm können ebenfalls alte Einträge mit unsicheren Requests vorhanden sein.