Kein Schloss oder „nicht sicher“: Mixed Content beheben

Ihr Zertifikat funktioniert, Ihre Website öffnet sich über https, und trotzdem erscheint kein Schloss-Symbol oder es gibt eine Warnung? Dann lädt Ihre Seite wahrscheinlich noch Elemente über http://: Bilder, Schriftarten, Skripte oder Videos. Das nennt man Mixed Content (gemischte Inhalte). Der Browser stuft die Seite dann nicht als vollständig sicher ein.

So finden Sie heraus, was noch über http geladen wird

1. Öffnen Sie Ihre Website in Chrome, Edge oder Firefox über https.
2. Klicken Sie auf das Symbol links neben der Adresse. Dort sehen Sie, ob die Verbindung sicher ist.
3. Drücken Sie F12 und öffnen Sie die Registerkarte Konsole. Dort stehen Meldungen mit Mixed Content und der Adresse jedes Elements, das noch über http geladen wird.

Sie können auch einen Online-Checker verwenden, wie whynopadlock.com.

Lösung in WordPress

1. Gehen Sie in WordPress zu Einstellungen und dann Allgemein.
2. Setzen Sie bei WordPress-Adresse (URL) und Website-Adresse (URL) https:// statt http://.
3. Ersetzen Sie die alten Adressen in Ihren Beiträgen und Seiten. Das geht mit einem Plugin wie Better Search Replace: Suchen Sie nach http://ihredomain.de und ersetzen Sie es durch https://ihredomain.de. Erstellen Sie zuerst ein Backup.
4. Leeren Sie anschließend den Cache Ihres Cache-Plugins und Ihres Browsers.

Hinweis: Wenn Sie die Adressen in WordPress schon auf https setzen, bevor das Zertifikat funktioniert, können Sie nicht mehr auf Ihre Verwaltung zugreifen. Prüfen Sie daher zuerst, ob https://ihredomain.de funktioniert.

Lösung bei anderen Websites

• Suchen Sie in Ihren HTML-Dateien, Ihrem Theme und Ihren Einstellungen nach http:// und ersetzen Sie es durch https://.
• Wenn Sie etwas von einer anderen Website laden (eine Schriftart, ein Video, ein Widget), verwenden Sie die https-Adresse dieser Website. Funktioniert diese nur über http, suchen Sie eine Alternative.
• Verwenden Sie bei eigenen Links lieber Adressen ohne Domain, wie /images/logo.png. Diese funktionieren über http und https.

Andere Ursachen für „nicht sicher“

• Das Zertifikat ist abgelaufen oder gehört zu einem anderen Namen. Klicken Sie auf das Symbol links neben der Adresse und prüfen Sie das Zertifikat. Sehen Sie dazu auch Let's Encrypt funktioniert nicht: Ursachen und Lösungen.
• Sie öffnen die Website über http. Leiten Sie Besucher automatisch zu https weiter (siehe Besucher immer zu https weiterleiten).
• Sie öffnen einen Namen, der nicht im Zertifikat enthalten ist, zum Beispiel www, während nur die Domain ohne www ein Zertifikat hat (siehe Zertifikat für www, Subdomains und Wildcard).