Ein Zähler auf einer HTTPS-Seite

Eine Seite läuft über HTTPS. Die Besucher sehen ein Schlosssymbol. Dann wird etwas von einer anderen Seite eingefügt, und das Schlosssymbol verschwindet – oder das Eingefügte erscheint einfach nicht.

Das heißt Mixed Content, und es lohnt sich, zehn Minuten zu investieren, um es zu verstehen, denn es zerstört still und leise eine ganze Menge alter eingebetteter Widgets.

Was Browser dagegen tun

Eine Seite, die über HTTPS geladen wird, darf nicht heimlich Teile von sich selbst über einfaches HTTP nachladen. Ein Lauscher, der eine unverschlüsselte Bildanfrage verändern kann, kann damit verändern, was die Besucher sehen, also weigert sich der Browser, die beiden zu mischen.

Bei Bildern und Skripten stufen moderne Browser die Anfrage entweder von selbst auf HTTPS hoch oder blockieren sie ganz. Welches der beiden passiert, hängt vom Browser und der Art der Ressource ab, und auf keines der beiden Ergebnisse ist Verlass.

Wo Stats4U steht

Geregelt, an zwei Stellen. Im Skript ist die Adresse des Zähl-Endpunkts als HTTPS fest eingetragen, sodass jede Anfrage, die es stellt, verschlüsselt ist, unabhängig davon, wie die Seite, die es geladen hat, ausgeliefert wurde. Und der Server beantwortet einfaches HTTP mit einer dauerhaften Weiterleitung auf HTTPS – beim Schreiben dieses Beitrags geprüft, sowohl für das Skript als auch für das Zählerbild selbst.

Ein Zähler, der mit einem aktuellen Snippet eingebunden ist, bringt das Schlosssymbol also nicht zum Verschwinden, und zu konfigurieren gibt es nichts.

Der eine Fall, der noch schiefgehen kann

Wenn irgendjemand das Zähler-Skript einmal in die Seite selbst kopiert hat, statt es zu verlinken – eine verbreitete Gewohnheit, und es gibt bis heute Seiten, die das so machen –, dann läuft dort eine eingefrorene Kopie von dem Zeitpunkt, als das geschah. Eine ausreichend alte Kopie hat eine einfache HTTP-Adresse darin stehen, und keine noch so gute Korrektur auf unserer Seite erreicht sie.

Zwei Minuten zum Prüfen: im Quelltext der Seite nach http:// gefolgt von unserer Domain suchen. Ein Fund bedeutet, dass die gesamte Einbindung durch ein aktuelles Snippet von der Statistikseite ersetzt gehört.

Und wenn der Quelltext schon offen ist: Es lohnt sich, das Skript zu verlinken, statt überhaupt eine Kopie davon zu hosten. Warum, steht in einem eigenen Beitrag, und das gilt für weit mehr als nur Zähler.