Smíšený obsah (nezabezpečené zdroje)

Na stránkách podávaných přes https:// se hledají odkazy na obrázky, skripty a styly začínající holým http://. Když se aspoň jeden najde, vznikne nález; report uvede počet i konkrétní příklad.

Na stránkách běžících přes http:// se kontrola vůbec nespustí. Tam „smíšený“ obsah nedává smysl: nezabezpečené je všechno. Tím se zabývá SEO-30.

Co kontrola nedělá: nerozlišuje aktivní obsah (skripty, styly: ty prohlížeč blokuje tvrdě) od pasivního (obrázky: ty většinou jen ohlásí varováním), nevidí zdroje načtené až JavaScriptem za běhu a nekontroluje, jestli je cíl vůbec dostupný přes https. Nález je na úrovni stránky, závažnost varování.

Na viditelnost v odpovědích AI doložený vliv nemáme. Zato tady máme něco, co je u SEO kódů vzácné: doložené chování, které si můžete sami ověřit za deset vteřin.

Prohlížeče smíšený obsah řeší a je to zdokumentované: aktivní obsah (skripty a styly přes http na https stránce) moderní prohlížeče blokují úplně. Nenačte se. U obrázků se chovají mírněji (často je automaticky povýší na https, případně zablokují), ale výsledek je pro návštěvníka stejný: něco na stránce chybí nebo nefunguje a on neví proč.

To je jiná třída problému než zbytek SEO nálezů. Nejde o to, jak vás vidí vyhledávač; jde o to, že vaše stránka je pro část návštěvníků rozbitá a nikdo vám to nenahlásí, protože v konzoli prohlížeče to vidí jen vývojář.

Co netvrdíme: že to zhorší vaši pozici ve vyhledávání. Google smíšený obsah jako faktor pořadí nikde neuvádí a my to tvrdit nebudeme. Důvod k opravě je jinde a je silnější.

Oprava je většinou triviální: změnit http:// na https://. Najít všechna místa je ta těžší část:

grep -rn 'http://' --include='*.html' --include='*.css' --include='*.js' .

• Nejčastější zdroje: staré vložené fonty, mapy, přehrávače videa, počítadla návštěv a obrázky nahrané do redakčního systému před přechodem na HTTPS.
• Obsah v databázi se grepem nenajde. Články s vloženými obrázky mají adresy uložené v textu; tam je potřeba hromadná náhrada v databázi, a před ní záloha.
• Nepoužívejte adresy bez schématu (//priklad.cz/soubor.js). Fungují, ale je to relikt z doby smíšených webů; napište rovnou https://.
• Když cizí zdroj https neumí, nepomůže přepsat adresu; nahraďte ho, nebo si soubor uložte k sobě.

Ověřit výsledek jde bez nástroje: otevřete stránku, v prohlížeči zapněte konzoli a hledejte hlášky o smíšeném obsahu. Prohlížeč je vypisuje sám: jsou to přesně ty zdroje, které nenačetl.

A jako pojistka do budoucna: hlavička Content-Security-Policy s direktivou upgrade-insecure-requests povýší takové odkazy automaticky. Není to náhrada za opravu, ale zabrání tomu, aby se problém vrátil s příštím vloženým obrázkem. Chybějící CSP mimochodem hlásí SEO-33.