Ontdek waarom een browser uw site Niet beveiligd noemt: geen HTTPS, een verlopen of verkeerd certificaat, of mixed content. Los elke oorzaak op en scan geplakte HTML op http://-links.
Browsers tonen Niet beveiligd wanneer een pagina niet via een privé HTTPS-verbinding wordt geleverd. Meestal is een van drie dingen misgegaan: de site heeft geen SSL-certificaat, het certificaat is verlopen of past niet bij het domein, of een HTTPS-pagina laadt nog bestanden via gewoon http://. Elke oorzaak heeft hieronder een eigen oplossing.
De gebruikelijke oorzaken en waar u begint
Wat u ziet
Waarschijnlijke oorzaak
Eerste oplossing
Niet beveiligd op elke pagina, adres begint met http://
Geen certificaat, of geen doorverwijzing naar HTTPS
Zet SSL aan bij uw host en verwijs http:// door naar https://
Waarschuwing over de verbinding over de hele pagina
Certificaat verlopen, of uitgegeven voor een andere naam
Verleng het, of laat het opnieuw uitgeven voor zowel example.com als www.example.com
Hangslot ontbreekt op slechts één pagina
Mixed content: een bestand op die pagina laadt via http://
Wijzig het adres van dat bestand naar https:// (scan hieronder)
Waarschuwing alleen op een formulierpagina
Het formulier verstuurt naar een http://-adres
Laat de action van het formulier naar een https://-adres wijzen
HTTPS is de versleutelde versie van het overdrachtsprotocol van het web, en het SSL-certificaat (preciezer: TLS) is het bestand dat bewijst dat uw domein eigenaar is van de verbinding. De helppagina van Chrome zegt dat er op een Niet beveiligde site iets mis is met de privacy van de verbinding, en dat iemand de informatie die bezoekers versturen of ontvangen mogelijk kan zien. Werk de oorzaken op volgorde af: eerst het certificaat, dan de doorverwijzing, als laatste mixed content.
Open uw site met https:// ervoor getypt. Weigert de browser, dan ontbreekt het certificaat, is het verlopen of hoort het bij een andere naam.
Werkt https:// wel maar laadt gewoon http:// nog zonder door te verwijzen, voeg dan een permanente doorverwijzing toe bij uw host.
Ontbreekt het hangslot op een pagina die wel via HTTPS laadt, bekijk dan de broncode van die pagina en plak die in de scanner hierboven.
Wijzig elk gemarkeerd adres naar https:// (of verwijder het bestand), publiceer en laad de pagina opnieuw.
De meeste hosts en websitebouwers geven gratis certificaten uit en verlengen ze automatisch. Is het uwe verlopen, controleer dan of het domein nog naar die host wijst.
Dek zowel het kale domein als de www-versie af, want bezoekers typen beide.
Oude blogposts tonen vaak afbeeldingen van http://-adressen. Zoek in uw content naar "http://" en werk ze in één keer bij.
Voeg de Strict-Transport-Security-header pas toe als elke pagina via HTTPS werkt, want browsers weigeren daarna terug te vallen op http://.
Veelgestelde vragen
Is een Niet beveiligde website gevaarlijk om te bezoeken?
Een gewone informatiepagina lezen is weinig riskant, maar alles wat erin wordt getypt (een wachtwoord, kaartnummer of bericht in een contactformulier) kan onderweg worden gelezen of gewijzigd. Daarom waarschuwen browsers, en daarom haken bezoekers af.
Hoe lang is een SSL-certificaat geldig?
Dat hangt af van de uitgever. Let's Encrypt, een gratis certificaatautoriteit zonder winstoogmerk, zegt dat de standaardcertificaten 90 dagen geldig zijn, en daarom is automatisch verlengen belangrijk. Betaalde certificaten hebben hun eigen voorwaarden.
Schaadt Niet beveiligd mijn positie in zoekresultaten?
Google heeft geen weging gepubliceerd die we kunnen citeren, dus we gaan er niet naar raden. De praktische kosten zijn bezoekers die de waarschuwing zien en vertrekken voordat ze iets lezen.
Waarom toont maar één pagina de waarschuwing?
Die pagina laadt bijna altijd iets via http://: een afbeelding, een script, een lettertype, een ingesloten video of een formulierdoel. Plak de broncode in de scanner om het adres te vinden.
Kan ik mixed content oplossen zonder elke pagina te bewerken?
Gedeeltelijk. De Content-Security-Policy-richtlijn upgrade-insecure-requests vertelt browsers om elke resource via HTTPS op te vragen. Dat helpt alleen als de andere server ook HTTPS aanbiedt, dus de adressen aanpassen blijft de nette oplossing.
Oorzaak 1: geen certificaat of geen doorverwijzing
Toont de adresbalk op elke pagina http://, dan wordt de site zonder versleuteling geleverd. Zet SSL aan in het dashboard van uw hosting of websitebouwer; de meeste geven binnen enkele minuten een gratis certificaat uit.
Zodra https:// laadt, verwijst u alle http://-verzoeken daarheen door met een permanente (301) doorverwijzing, zodat oude links en bladwijzers op de beveiligde versie uitkomen.
Oorzaak 2: verlopen of niet-passend certificaat
Een certificaat heeft een einddatum en vermeldt precies welke namen het dekt. Als het verloopt, of als iemand www.example.com bezoekt terwijl het certificaat alleen example.com noemt, tonen browsers een foutmelding over de hele pagina in plaats van een klein label.
Klik op het icoon naast het adres om de data en namen van het certificaat te zien, en verleng het of laat het opnieuw uitgeven via uw host.
Oorzaak 3: mixed content
MDN definieert mixed content als een veilig geladen pagina die sommige resources via HTTP ophaalt. Browsers proberen afbeeldingen, audio en video automatisch naar HTTPS te upgraden, en blokkeren scripts, stylesheets, iframes en lettertypen die http:// gebruiken.
Geblokkeerde bestanden laten delen van de pagina breken, terwijl geüpgradede bestanden ongemerkt kunnen falen als de andere server geen HTTPS heeft. Hoe dan ook: wijzig het adres naar https://.
Welke http://-bestanden browsers repareren en welke ze blokkeren
Dit volgt de mixed content-referentie van MDN. Upgradebare verzoeken worden door de browser herschreven naar HTTPS; al het andere op de lijst wordt geblokkeerd.
Hoe browsers mixed content behandelen (MDN)
Resource
Gedrag van de browser
<img src>, <audio src>, <video src>, <source>
Automatisch geüpgraded naar https://
Een afbeelding waarvan het adres een kaal IP-adres is, zoals http://93.184.215.14/
Weblettertypen, fetch()- en XMLHttpRequest-aanroepen, <object data>
Geblokkeerd
Twee headers die helpen zodra HTTPS werkt
Voeg deze toe bij uw host of CDN. De eerste vraagt browsers elk verzoek te upgraden; de tweede vertelt ze voortaan alleen HTTPS te gebruiken voor dit domein.
Elk verzoek upgraden
Een noodoplossing terwijl u oude adressen corrigeert. Werkt alleen voor bestanden die ook via HTTPS beschikbaar zijn.
Strict-Transport-Security (HSTS)
max-age is in seconden; 31536000 is één jaar. Browsers die dit zien, laten bezoekers niet meer doorklikken bij certificaatfouten, dus test eerst.
Mixed content-scanner
Plak de HTML van een pagina (klik met rechts op de pagina, kies Paginabron weergeven en kopieer). De scan draait in uw browser en er wordt niets geüpload.
HTML van de pagina
{n} http://-adressen gevonden.
Geen http://-adressen gevonden in wat u hebt geplakt.
Adres
Waar
Wat er gebeurt
Upgradebaar: de browser probeert zelf https://, en het bestand ontbreekt als de server geen HTTPS heeft
Geblokkeerd op een HTTPS-pagina: wijzig het naar https://
Het formulier verstuurt zijn gegevens onversleuteld: wijzig de action naar https://