Comprobador de contenido mixto: HTTP en HTTPS

Pegas una URL HTTPS y el servidor lee el HTML

Pega una URL de página HTTPS. Un hostname sin esquema se pide como https. El comprobador descarga ese documento desde los servidores de Scrawl con un tiempo de espera de 10 segundos y un tope de 2 MB, y luego lee el HTML. No entra en el sitio. Los hosts privados, de loopback y de metadatos se bloquean antes de cualquier petición.

La URL final, después de redirecciones, es la que cuenta. Si esa URL no es HTTPS, el bloqueo de contenido mixto no aplica del mismo modo: el documento entero ya va en claro. Las filas siguen saliendo para que veas las URLs http, con esa nota encima.

Activo se bloquea, pasivo avisa, el enlace no es contenido mixto

Las filas activas son peticiones que el navegador bloquea en una página HTTPS: src de script, src de iframe, href de una hoja de estilo, data de object, src de embed, action de un formulario, preload como script o style, un @import de una hoja http y los archivos de @font-face. Corrígelas primero. Un script o una hoja bloqueados cambian cómo corre la página.

Las filas pasivas son imágenes y medios: src y srcset de img, video, audio, source, poster, enlaces de icono, preload como image, y valores url() de CSS que no son fuentes. El navegador avisa. El resto de la página puede cargar mientras una imagen queda rota o el candado se degrada.

Las filas de enlace son direcciones http en un a href. No son contenido mixto. Seguirlas abandona la página. Se listan para que los enlaces http viejos se vean sin tratarlos como subrecursos bloqueados.

Cada fila muestra el elemento, el atributo, la URL y dónde se encontró: el HTML, un elemento style, un atributo style, o una hoja de estilo del mismo origen que sí se pidió.

La columna HTTPS es un HEAD, con tope, no una promesa de bytes iguales

Para cada URL http el comprobador envía un HEAD a la misma ruta con https, hasta 20 direcciones distintas. Primero van los subrecursos y después los enlaces planos. Sí y un estado menor de 400 significa que esa URL HTTPS respondió. No significa un 4xx, un 5xx o ninguna respuesta. Sin comprobar significa que se alcanzó el tope. Un Sí en un script o una imagen es candidato a reescribir en la plantilla. Un No significa que ese host no está sirviendo el archivo por HTTPS, así que cambiar solo el esquema no lo arregla.

Las hojas de estilo del mismo origen enlazadas desde la página se piden, hasta 5, y los url() y @import http de dentro se añaden a la tabla. Una hoja en otro host no se descarga. Si su href ya es http, ese link es una fila activa y los archivos que cargaría no se expanden.

Esta pasada no ve lo que inyecta JavaScript ni data-src

El JavaScript que inserta un script, una imagen o un iframe después de cargar es invisible aquí. data-src y otros atributos de carga diferida no se leen. Usa la consola del navegador en la página en vivo para confirmar qué pidió http de verdad después de que corrieron los scripts. Este informe es el HTML del servidor más un conjunto acotado de hojas del mismo origen.

Para el certificado, usa el Comprobador de certificado SSL. Para cabeceras de respuesta como Content-Security-Policy y Strict-Transport-Security, usa el Comprobador de cabeceras de seguridad. Una URL por ejecución, tiempo de espera de unos diez segundos, tope de 2 MB, cinco hojas del mismo origen y veinte comprobaciones HEAD. Los destinos privados y localhost quedan bloqueados.