Главная/Ошибки/Смешанный контент
Смешанный контент (mixed content): как найти и исправить
Смешанный контент возникает, когда страница открыта по https, а часть её ресурсов (скрипты, стили, картинки, шрифты) загружается по http. Браузер блокирует такие ресурсы или убирает замок, поэтому сайт выглядит сломанным или «не защищённым».
Ответ за 30 секунд
Откройте консоль браузера (F12): каждый небезопасный ресурс записан в сообщении Mixed Content. Замените в источнике http:// на https://, а заголовок upgrade-insecure-requests добавьте только как страховку, а не как замену чистке.
Бесплатный Let's Encrypt до часа, платные GlobalSign от 15 минут. Любой возвращается в течение 7 дней.
Смешанный контент в WordPress, Битрикс и конструкторахhttp://адрес ресурса, который ломает замок
F12консоль показывает такие ресурсы
upgrade-insecure-requestsстраховочный заголовок CSP
01 · 1 мин
Какой http-контент блокируется на https-странице, а какой подменяется#
| Тип | Примеры | Что делает браузер |
|---|---|---|
| Блокируемый | Скрипты, таблицы стилей, iframe, запросы fetch и XHR, шрифты | Блокирует, часть страницы не работает |
| Подменяемый | Картинки, аудио, видео | Автоматически меняет http:// на https:// |
Подмена не срабатывает, если ресурс подключён по IP-адресу, а не по имени, либо на другом домене нет https: в этом случае картинка тоже будет заблокирована. Рассчитывать на подмену нельзя, исправлять нужно в источнике. Общая картина по «Не защищено»: сайт не защищён.
02 · 1 мин
Как найти смешанный контент на сайте#
Откройте страницу, нажмите F12 и перейдите на вкладку Console. Каждый проблемный ресурс записан строкой вида «Mixed Content: The page at … was loaded over HTTPS, but requested an insecure …». В строке указан точный адрес. Проверьте главную и по две-три страницы каждого типа: товар, статья, форма.
Из терминала можно собрать адреса прямо из кода страницы и поискать их в исходниках:
curl -s https://example.com/ | grep -oE '(src|href)="http://[^"]+"' | sort -u
grep -rIn "http://example.com" ./wp-content/themes/mythemeЕсли искать вручную долго, сервис Why No Padlock разбирает страницу и перечисляет такие ресурсы: онлайн-проверка SSL.
03 · 1 мин
Как исправить смешанный контент: замена ссылок и заголовок#
- Замените адреса в шаблонах и стилях. Относительные пути вида
/img/logo.pngпроблем не создают, аhttp://нужно менять наhttps://. - Исправьте базу данных. В CMS ссылки на картинки хранятся в записях. Для WordPress сначала сухой запуск, затем замена.
- Проверьте чужие ресурсы. Откройте адрес сторонней картинки или скрипта по https. Если не открывается, скопируйте файл на свой сервер или уберите.
- Добавьте заголовок CSP как страховку для забытых ссылок.
wp search-replace 'http://example.com' 'https://example.com' --all-tables --dry-run
wp search-replace 'http://example.com' 'https://example.com' --all-tablesЗаголовок Content-Security-Policy: upgrade-insecure-requests просит браузер менять http на https для всех запросов страницы, включая блокируемые. Он не поможет, если нужного файла нет по https.
# Nginx, в блоке server
add_header Content-Security-Policy "upgrade-insecure-requests" always;
# Apache, нужен mod_headers
Header always set Content-Security-Policy "upgrade-insecure-requests"Инструмент · 1 мин
Смешанный контент в WordPress, Битрикс и конструкторах#
В WordPress проверьте адрес сайта в настройках: «Адрес WordPress» и «Адрес сайта» должны начинаться с https. Старые записи нужно править через замену в базе, как показано выше. Плагины вида Really Simple SSL подменяют адреса на лету, но это временная мера: чистая база надёжнее. Подробности: SSL на WordPress.
В Битрикс проверьте адрес в настройках сайта и ссылки в шаблоне: SSL на Битрикс. В конструкторах вроде Тильды проверьте вставки с чужим кодом: собственные ресурсы конструктора обычно уже идут по https.
Найти и убрать смешанный контент
Отмечайте шаги, подсказка покажет следующий
05 · 1 мин
Вопросы о смешанном контенте#
Что такое mixed content и чем он опасен?
Это загрузка http-ресурсов на https-странице. Скрипт, пришедший по http, может подменить посторонний в сети, и защита всей страницы пропадает.
Почему на сайте с https нет замка или он перечёркнут?
Скорее всего, на странице есть http-ресурсы. Откройте консоль браузера и найдите сообщения Mixed Content, в них указан адрес каждого.
Достаточно ли добавить upgrade-insecure-requests вместо замены ссылок?
Это страховка, а не лечение. Заголовок помогает, пока нужный файл доступен по https, но не заменяет правку ссылок в шаблонах и базе.
Почему этому можно верить
Как мы проверяли
Источники цифр на этой странице: SSL-сертификаты Таймвеб, timeweb.com/ru/services/domains/ssl, проверено 19 октября 2026; Let's Encrypt: документация, letsencrypt.org/docs, проверено 19 октября 2026; MDN: смешанный контент (Mixed content), developer.mozilla.org/en-US/docs/Web/Security/Mixed_content, проверено 19 октября 2026.
Подключите SSL к сайту
От бесплатного Let's Encrypt до платных сертификатов GlobalSign с гарантийной выплатой и установкой под ключ. Любой можно вернуть за 7 дней.
- Бесплатный Let's Encrypt на домен
- Платные от 1 000 ₽ за 6 месяцев
- Wildcard на все поддомены
- 7 дней на возврат