Nhiều chủ website đã cài đặt chứng chỉ SSL đầy đủ nhưng vẫn thấy trình duyệt hiển thị cảnh báo "Không bảo mật" hoặc biểu tượng ổ khóa không hiển thị đầy đủ màu xanh. Nguyên nhân phổ biến nhất của tình trạng này là lỗi Mixed Content.
1. Mixed Content là gì
Lỗi này xảy ra khi một trang được tải qua kết nối an toàn HTTPS nhưng vẫn còn tải một số tài nguyên (hình ảnh, script, stylesheet) qua kết nối không an toàn HTTP, tạo ra tình trạng hỗn hợp khiến trình duyệt đánh giá trang không hoàn toàn an toàn.
2. Nguyên nhân phổ biến gây ra lỗi này
Thường xảy ra khi website được chuyển đổi từ HTTP sang HTTPS nhưng một số đường dẫn hình ảnh, liên kết tới file CSS hoặc JavaScript trong mã nguồn vẫn còn được viết cứng theo định dạng http:// thay vì https:// hoặc dùng đường dẫn tương đối.
3. Hai loại Mixed Content — active và passive
Mixed Content dạng active (như JavaScript) nguy hiểm hơn nhiều vì có thể bị lợi dụng để chèn mã độc, thường bị trình duyệt chặn hoàn toàn. Mixed Content dạng passive (như hình ảnh) ít nguy hiểm hơn nhưng vẫn khiến trình duyệt cảnh báo và ảnh hưởng tới độ tin cậy của trang.
4. Cách phát hiện lỗi Mixed Content
Công cụ kiểm tra (Developer Tools) có sẵn trên các trình duyệt hiện đại cho phép xem chi tiết những tài nguyên nào đang gây ra lỗi Mixed Content trên một trang cụ thể, giúp xác định chính xác vị trí cần sửa trong mã nguồn.
5. Cách khắc phục triệt để
Rà soát và thay thế toàn bộ đường dẫn cứng http:// thành https://, hoặc tốt hơn là chuyển sang dùng đường dẫn tương đối (không chỉ định giao thức cụ thể) để tự động khớp với giao thức của trang đang được tải, tránh lặp lại lỗi tương tự trong tương lai.
6. Kiểm tra cả nội dung được nhúng từ bên thứ ba
Đôi khi lỗi Mixed Content không xuất phát từ chính website mà từ các đoạn mã nhúng của bên thứ ba (quảng cáo, widget, font chữ) vẫn đang sử dụng liên kết HTTP. Cần yêu cầu các bên cung cấp cập nhật sang phiên bản HTTPS hoặc tìm giải pháp thay thế phù hợp.
7. Kiểm tra định kỳ sau mỗi lần cập nhật nội dung
Lỗi Mixed Content có thể tái xuất hiện nếu người quản trị vô tình chèn liên kết HTTP khi thêm nội dung mới, đặc biệt khi copy nội dung từ nguồn khác. Kiểm tra định kỳ giúp phát hiện sớm trước khi ảnh hưởng lớn tới trải nghiệm và uy tín của website.
Kết luận
Lỗi Mixed Content là vấn đề phổ biến sau khi chuyển đổi sang HTTPS nhưng hoàn toàn có thể khắc phục triệt để nếu rà soát kỹ lưỡng toàn bộ mã nguồn. Xử lý đúng cách giúp website hiển thị đầy đủ biểu tượng bảo mật, tăng độ tin cậy trong mắt khách hàng.
Sử dụng Content Security Policy để ngăn ngừa
Thiết lập Content Security Policy (CSP) trong cấu hình website có thể tự động chặn hoặc nâng cấp các yêu cầu tải tài nguyên không an toàn lên HTTPS, đóng vai trò như một lớp phòng ngừa bổ sung giúp giảm thiểu rủi ro lỗi Mixed Content tái diễn trong tương lai.
Sử dụng công cụ quét toàn bộ website tìm Mixed Content
Với website có quy mô lớn, hàng trăm trang, việc kiểm tra thủ công từng trang một không khả thi. Các công cụ quét chuyên dụng có thể tự động rà soát toàn bộ website và liệt kê danh sách đầy đủ các vị trí gặp lỗi Mixed Content cần xử lý.
Kiểm tra ngay sau khi cài đặt plugin hoặc tính năng mới
Mỗi khi cài đặt thêm plugin, widget hoặc tích hợp dịch vụ bên thứ ba mới, nên kiểm tra ngay xem có phát sinh lỗi Mixed Content hay không, vì đây là thời điểm dễ vô tình đưa thêm các liên kết HTTP không an toàn vào website nhất.
Xem thêm: thiết kế website chuẩn SEO.
