Hoofdstuk 6 · 6.7
Geen slotje of 'niet veilig': mixed content oplossen
Je certificaat werkt, je site opent via https, en toch staat er geen slotje of een waarschuwing? Dan laadt je pagina waarschijnlijk nog onderdelen via http://: afbeeldingen, lettertypen, scripts of video's. Dat heet mixed content (gemengde inhoud). De browser vindt de pagina dan niet helemaal veilig.
Zo vind je wat er nog via http laadt
- Open je site in Chrome, Edge of Firefox via https.
- Klik op het pictogram links van het adres. Daar zie je of de verbinding veilig is.
- Druk op F12 en open het tabblad Console. Daar staan meldingen met Mixed Content, met het adres van elk onderdeel dat nog via http laadt.
Je kunt ook een online checker gebruiken, zoals whynopadlock.com.
Oplossen in WordPress
- Ga in WordPress naar Instellingen en dan Algemeen.
- Zet bij WordPress-adres (URL) en Site-adres (URL) https:// in plaats van http://.
- Vervang de oude adressen in je berichten en pagina's. Dat kan met een plugin als Better Search Replace: zoek naar http://jouwdomein.nl en vervang door https://jouwdomein.nl. Maak eerst een back-up.
- Leeg daarna de cache van je cacheplugin en van je browser.
Let op: Zet je de adressen in WordPress op https voordat het certificaat werkt, dan kun je niet meer bij je beheer. Controleer dus eerst of https://jouwdomein.nl werkt.
Oplossen in andere websites
- Zoek in je HTML-bestanden, je thema en je instellingen naar http:// en vervang dat door https://.
- Laad je iets van een andere website (een lettertype, een video, een widget), gebruik dan het https-adres van die site. Werkt die alleen via http, zoek dan een alternatief.
- Gebruik bij eigen links liever adressen zonder domein, zoals /images/logo.png. Die werken via http en https.
Andere oorzaken van 'niet veilig'
- Het certificaat is verlopen of hoort bij een andere naam. Klik op het pictogram links van het adres en bekijk het certificaat. Kijk dan in Let's Encrypt lukt niet: oorzaken en oplossingen.
- Je opent de site via http. Stuur bezoekers automatisch naar https (zie Bezoekers altijd naar https sturen).
- Je opent een naam die niet in het certificaat zit, bijvoorbeeld www terwijl alleen het domein zonder www een certificaat heeft (zie Certificaat voor www, subdomeinen en wildcard).