Kłódka w pasku adresu nie chce się pojawić
Publikacja: · Grzegorz Rapczyński
Certyfikat wykupiony, zainstalowany, sklep otwiera się po szyfrowanym połączeniu - a zamiast kłódki widać ostrzeżenie albo przekreśloną ikonę. To nie znaczy, że certyfikat jest zły. To znaczy, że strona ładuje przynajmniej jeden element po nieszyfrowanym połączeniu. Pokazuję to na sklepie PrestaShop, ale samą diagnozę robi się w przeglądarce i wygląda ona tak samo na każdej platformie.
Przeglądarka traktuje taką stronę jako częściowo niezabezpieczoną, bo wystarczy jeden podmieniony plik, żeby cała ochrona straciła sens.
Jak znaleźć winny element
Nie zgaduj - przeglądarka powie Ci to wprost. Otwórz narzędzia dla programistów (klawisz F12), przejdź do zakładki z konsolą i odśwież stronę. Ostrzeżenia o mieszanej zawartości wymienią konkretne adresy.
Warto sprawdzić kilka różnych stron, nie tylko główną. Problem bardzo często siedzi na jednej karcie produktu albo jednej stronie informacyjnej, a nie w całym sklepie.
Pięć miejsc, w których się to chowa
1. Opisy produktów i stron. Najczęstsze źródło. Ktoś kiedyś wkleił zdjęcie albo film z pełnym adresem zaczynającym się od nieszyfrowanego protokołu i tak zostało. Przy dużym katalogu trzeba to podmienić hurtem w bazie - z kopią zapasową zrobioną przed operacją.
2. Ustawienia sklepu. Jeśli adres sklepu zapisany w konfiguracji jest bez szyfrowania, sklep sam będzie generował takie linki. To pierwsza rzecz do sprawdzenia i najszybsza do poprawienia.
3. Szablon. Czcionki, ikony, biblioteki wpisane na sztywno w plikach motywu. Trzeba przeszukać pliki szablonu pod kątem adresów z nieszyfrowanym protokołem.
4. Moduły. Zwłaszcza starsze, ładujące skrypty z zewnętrznych serwerów. Objaw: problem pojawia się tylko tam, gdzie moduł jest wyświetlany.
5. Bannery i treści marketingowe dodane przez panel, z adresami obrazków wskazującymi na zewnętrzne źródła.
Czego nie robić
Kuszące skróty, które tworzą nowe problemy:
- Automatyczne przepisywanie wszystkiego na szyfrowane połączenie regułą na serwerze. Działa, dopóki zewnętrzny serwer obsługuje szyfrowanie - jeśli nie obsługuje, element przestaje się ładować w ogóle i zamiast ostrzeżenia masz brakujący obrazek.
- Ignorowanie problemu, bo „kłódka i tak czasem jest". Przeglądarki stopniowo zaostrzają zasady i to, co dziś jest ostrzeżeniem, jutro bywa zablokowane.
- Podmiana adresów w bazie bez kopii. Operacja na wszystkich opisach naraz, wykonana z błędem, potrafi uszkodzić cały katalog.
Sprawdzenie po naprawie
- Konsola przeglądarki na stronie głównej, jednej kategorii, jednej karcie produktu i w koszyku - tam, gdzie kłódka ma największe znaczenie.
- Test na telefonie, bo część szablonów ładuje inne zasoby w wersji mobilnej.
- Sprawdzenie, czy sklep nie serwuje obu wersji jednocześnie. Adres bez szyfrowania powinien przekierowywać na szyfrowany jednym skokiem - opisałem tę zasadę przy przekierowaniach 301.
- Wyczyszczenie cache sklepu, bo zapamiętane strony wciąż mogą zawierać stare adresy.
Dlaczego to ma znaczenie poza samą kłódką
Ostrzeżenie w pasku adresu widzi klient w momencie, w którym ma podać dane i zapłacić. To jeden z najgorszych możliwych momentów na sygnał, że coś jest nie tak - i jedna z tych rzeczy, o których nikt Ci nie powie, po prostu zamknie kartę.
Do tego dochodzi kwestia zaufania po stronie wyszukiwarki: szyfrowane połączenie jest standardem od lat i strona, która go nie ma w pełni, wypada gorzej niż konkurencja, która ma.
Najczęstsze pytania
Czy mixed content blokuje sprzedaż?
Bezpośrednio nie, ale ostrzeżenie pojawia się dokładnie tam, gdzie klient podaje dane. Część osób rezygnuje w tym momencie bez słowa.
Certyfikat od hostingu wystarczy?
Do szyfrowania połączenia tak. Darmowe certyfikaty odnawiane automatycznie są w zupełności wystarczające dla typowego sklepu.
Po przejściu na HTTPS spadł ruch. Dlaczego?
Bo dla Google adres z szyfrowaniem i bez to dwie różne strony. Jeśli brakuje przekierowań ze starych adresów, część pozycji przepada - i to trzeba naprawić przekierowaniami, nie czekaniem.
Kłódka mimo wszystko nie chce się pojawić
Jeśli przeszedłeś przez konsolę i dalej coś ładuje się nieszyfrowanym połączeniem, napisz - przy kilkunastu adresach rozsianych po szablonie i modułach szybciej jest to poprawić hurtem niż klikać pojedynczo. Formularz kontaktowy, 881 932 088 lub kontakt@grvision.pl.