Uw certificaat is geldig, uw homepage toont keurig een slotje, en toch is dat slotje weg op uw website zodra u de contactpagina opent. In plaats daarvan staat er een uitroepteken, een doorgestreept slot, of de tekst “Niet veilig”. Dat is verwarrend, want een certificaat geldt toch voor het hele domein?
Dat klopt ook. Het certificaat is niet het probleem. Wat er misgaat, is dat er op die ene pagina iets wordt opgehaald via een onbeveiligde verbinding. De browser vindt dan dat hij het slotje niet met droge ogen kan tonen, want de pagina is maar gedeeltelijk beschermd.
Waarom één zwakke schakel telt
Een beveiligde pagina belooft twee dingen: niemand kan meelezen en niemand kan onderweg iets veranderen. Wordt op diezelfde pagina één afbeelding, één script of één lettertype via een onbeveiligd adres opgehaald, dan is die belofte niet meer waar te maken. Wie tussen u en de bezoeker zit, kan dat onderdeel vervangen.
Bij een afbeelding is dat vervelend. Bij een script is het ernstig, want daarmee kan iemand de hele pagina naar zijn hand zetten, inclusief het formulier waar uw klant zijn gegevens intypt. Daarom gaan browsers hier streng mee om en blokkeren ze onbeveiligde scripts zelfs helemaal.
Dat verklaart meteen twee verschillende symptomen. Bij een onbeveiligde afbeelding verdwijnt alleen het slotje. Bij een geblokkeerd script verdwijnt ook functionaliteit: een kaartje dat niet verschijnt, een slider die stilstaat, een formulier dat niet verstuurt.
De boosdoener opsporen in drie minuten
- Open de pagina waar het slotje ontbreekt. Klik met de rechtermuisknop, kies Inspecteren en ga naar het tabblad Console.
- Ververs de pagina. U ziet nu een of meer gele of rode meldingen met de woorden Mixed Content, gevolgd door het volledige adres van het onderdeel dat mis is.
- Noteer die adressen. Meestal is het er één, soms een handvol van dezelfde bron.
Aan het adres ziet u vaak meteen waar het vandaan komt. Staat er uw eigen domein in met http ervoor, dan zit het in uw eigen inhoud. Staat er een vreemd domein, dan haalt u iets van buiten binnen: een kaartendienst, een lettertype, een badge van een keurmerk of een oude statistiektag.
De vier plekken waar het meestal zit
Een afbeelding die handmatig is geplakt. Iemand heeft ooit een afbeeldingsadres uit een andere bron gekopieerd, inclusief http. Dat overleeft elke migratie naar https, want de tekst staat gewoon in de database. Dit is veruit de meest voorkomende oorzaak op één losse pagina.
Een ingesloten kaart of video. Oude insluitcodes van kaartdiensten en videoplatforms gebruikten http. De code werkt nog, maar breekt het slotje. Vervang de insluitcode door een verse versie.
Een keurmerk, review-widget of chatvenster. Externe partijen die u ooit heeft toegevoegd. Als hun eigen dienst niet op https draait, kunt u er niets aan doen behalve hem weghalen of de leverancier aanspreken.
Een verwijzing in het thema of in een pagina-onderdeel. Een achtergrondafbeelding in de instellingen van een paginabouwer, of een lettertype dat via een oud adres wordt geladen. Die zit niet in de tekst en is daardoor lastiger te vinden.
De algemene aanpak voor het opruimen van dit soort verwijzingen, ook als het om honderden pagina’s gaat, staat in het stappenplan voor gemengde inhoud.
Zo repareert u het
Voor één pagina is de reparatie meestal handwerk en dat is prima.
- Open de pagina in de editor en zoek het element dat bij het adres uit de console hoort.
- Is het een afbeelding van uzelf, verwijder hem en voeg hem opnieuw toe via de mediabibliotheek. Dan staat het adres automatisch goed.
- Is het een externe bron, kijk of dezelfde bron ook via https bereikbaar is. Vaak volstaat het om de ene letter s toe te voegen. Werkt dat niet, dan is die bron niet geschikt.
- Zit het niet in de tekst, kijk dan in de instellingen van het thema en van de paginabouwer voor die specifieke pagina: achtergronden, iconen en aangepaste code.
- Leeg daarna uw cache, zowel die van een cacheplugin als die van een eventuele netwerkdienst. Anders blijft u naar de oude versie kijken.
Wat u beter niet doet: het probleem verbergen met een instelling die alle adressen automatisch omzet. Dat lost het beeld op maar laat de foute verwijzingen in uw database staan, en bij de volgende verhuizing komt alles terug. Het is een noodgreep, geen oplossing.
Als het niet aan de inhoud ligt
Blijft de console leeg terwijl het slotje toch ontbreekt, kijk dan naar het certificaat zelf. Twee gevallen komen voor.
Ten eerste een certificaat dat niet alle varianten dekt. Werkt uw site met en zonder www, en is het certificaat alleen voor de ene variant afgegeven, dan krijgt de bezoeker op de andere variant een waarschuwing. Dat lijkt op een paginaprobleem omdat sommige interne links naar de ene en sommige naar de andere variant wijzen.
Ten tweede een certificaat dat bijna verloopt of net is vernieuwd zonder herstart. Meer over hoe u dat op tijd ziet aankomen, staat in het artikel over een verlopen certificaat. Een verlopen certificaat geeft overigens een veel duidelijker en enger scherm dan alleen een verdwenen slotje.
Wat bezoekers er werkelijk van merken
Eerlijk is eerlijk: een ontbrekend slotje op een informatieve pagina jaagt niet iedereen weg. Veel bezoekers zien het niet eens. Maar op twee soorten pagina’s telt het zwaar: alles met een formulier en alles met een betaling. Daar staat in sommige browsers een expliciete waarschuwing bij het invulveld, en dat kost aanvragen.
Een fysiotherapiepraktijk merkte dat het aanmeldformulier al maanden minder werd ingevuld dan daarvoor. De oorzaak was een ingesloten routekaart met een oude insluitcode, precies op die pagina. Na het vervangen van dat ene blok stond het slotje er weer en trok het aantal aanmeldingen binnen enkele weken bij. Meetbaar bewijs is dat niet, maar het is wel de enige wijziging die er was.
Houd het zo
Neem een controle van de belangrijkste pagina’s op in uw vaste ronde: homepage, contact, een dienstenpagina en bij een webshop de winkelwagen en de afrekenpagina. Vijf pagina’s, twee minuten werk, en u vangt dit voordat een klant het meldt.
Loopt u tegen verwijzingen aan die u nergens in de editor terugvindt, dan zitten ze meestal diep in de database of in themabestanden. Voor het oplossen van dit soort certificaat- en beveiligingsmeldingen is een gerichte zoekopdracht over de database sneller dan handmatig klikken; het is bij WebMaintor doorgaans een klus van een half uur.
Doe dit meteen: open uw contactpagina, klik op het slotje in de adresbalk en kijk of de browser meldt dat de verbinding volledig beveiligd is. Zo niet, dan weet u waar u begint.
