Почему не отображается замочек на страничке с HTTPS, хотя сертификат SSL установлен правильно
Если на сайте используется сертификат углубленной проверки SSL (EV-SSL), название организации отображается в адресной строке непосредственно справа от значка замка. Если вы не видите название организации в адресной строке, убедитесь, что в браузере включена проверку отзыва сертификата сервера.
Проверьте все ссылки на своих страница, если страница содержит ссылку http:// а не https://, SSL Padlock не будет отображаться.
Иногда возникает следующая ситуация: вы заказали доверенный SSL сертификат, прошли проверку центром сертификации, установили сертификат SSL на сервер, вы все сделали верно, но при попытке перейти на ваш ресурс, браузер выдает ошибку: «Не удалось загрузить сайт, заблокирована загрузка смешанного активного содержимого». Или же, как вариант, веб-сайт загружается, но вместо закрытого замка в адресной строке браузер показывает желтый треугольник и сообщает о том, что соединение зашифровано только частично. Причина этих проблем – смешанное содержимое или смешанный контент (в английском варианте — mixed content) на вашем сайте.
Хорошо, если на сайте установлена печать защиты или Site Seal Установка печати доверия опционально рекомендовано, но не обязательно, поэтому ее отсутствие не всегда говорит об отсутствии SSL сертификата. Если на сайт использован SSL сертификат с расширенной проверкой, зеленая строка будет содержать и название компании-владельца домена на зеленом фоне.
На сайте возникают проблемы с отображением содержимого странички при наличии смешанного содержимого: например, в Google Chrome в адресной строке вместо зеленого замка показывается замок, перекрытый желтым треугольником. В Mozilla Firefox вместо замка показывается треугольник с восклицательным знаком. Кроме того, в окне браузера может появляться сообщение о том, что веб-страница содержит смешанное содержимое и информация отображается частично, либо полностью заблокирована и не отображается вообще. В каждом браузере сообщение о смешанном контенте может показываться по-разному, но суть одна – пользователь получает предупреждение и не сможет просмотреть все содержимое страницы, что, соответственно, оказывает негативное влияние на конверсию сайта в целом. Internet Explorer сообщает, что отображено только безопасное содержимое сайта, предоставленное через безопасный протокол https. У вас есть возможность отобразить весь контент страницы нажатием кнопки “Show all content” («показать все содержимое»). Браузер Google Chrome пишет, что данная страница содержит скрипт из непроверенного источника. Вы можете загрузить все содержимое сайта, нажав на ссылку “Load unsafe content” (“Загрузить небезопасное содержимое)”.
Если вы видите одно из этих предупреждений, это значит, что, несмотря на установленный SSL сертификат, соединение не может быть полностью защищено, так как некоторые файлы загружается по http-каналу. Соответственно, эта информация может быть просмотрена или изменена третьими лицами. Поэтому на сайтах со смешанным содержимым не рекомендуется оставлять личную информацию, такую как, например, банковские и паспортные данные, логины и пароли, адреса и так далее.
По сути, смешанное содержимое или смешанный контент – это смешанные скрипты протоколов https и http. Дело в том, что если не все наполнение сайта состоит из файлов, загружаемых по протоколу https, и на странице имеется часть контента, загружаемого по протоколу http, то такое соединение может быть защищено только частично. В результате, казалось бы безопасное соединение является не совсем безопасным.
Почему же возникают проблемы со смешанным содержимым, и к каким последствиям может это привести?
SSL сертификат гарантирует защищенное https-соединение. Соответственно, при установленном SSL сертификате страницы веб-сайта должны загружаться только по протоколу https. Если использовать на безопасном сайте также части контента по http, появляются пробелы в безопасности соединения между веб-сайтом и Интернет пользователем. Следовательно, мошенники или просто третьи лица, заинтересованные в получении конфиденциальных данных, могут заменить части сайта с http на преднамеренно измененную информацию и тем самым скомпрометировать веб-страницу.
Хотя сокращение срока действия сертификата с двух лет до одного фактически удваивает накладные расходы и риск человеческой ошибки, мы рекомендуем приобретать сертификаты SSL на один год. Наш аргумент в пользу сокращения срока действия сертификатов сводится к тому, что сертификаты несут в себе риск. Всегда есть возможность кражи ключа или коварного злоупотребления администратором законно выданным сертификатом. Существует вероятность, хотя и редкая, что ЦС по ошибке выдает сертификат неправильному объекту. И поскольку доменные имена могут менять владельца, то в течение определенного периода времени вы можете иметь действительный сертификат для домена, который вы больше не контролируете. Все эти риски очень малы, и подавляющее большинство сертификатов используются честно и законно в течение всего срока службы без каких-либо существенных проблем безопасности.