Contenu mixte

Deux comportements, selon le risque.

Le contenu mixte actif, scripts et feuilles de style, est bloqué purement et simplement. Une partie du site cesse de fonctionner sans message visible pour le visiteur ordinaire.

Le contenu mixte passif, images et vidéos, est de plus en plus souvent bloqué aussi, ou surclassé automatiquement vers la version chiffrée quand elle existe.

Dans les deux cas, un avertissement apparaît dans la barre d’adresse, et l’indicateur de sécurité disparaît.

Trois, par ordre de gravité.

Des fonctions cassées. Un formulaire dont le script est bloqué ne s’envoie pas. Le visiteur constate que rien ne se passe et repart.

Une perte de confiance. L’avertissement de sécurité fait fuir, et il touche toutes les pages du parcours.

Une mesure faussée. Une balise chargée en clair est bloquée, et les conversions disparaissent sans qu’aucune erreur ne remonte. C’est un cas classique de dégradation silencieuse, décrit côté qualité des données.

Quatre origines fréquentes.

Une migration vers le chiffrement incomplète, où le contenu a été mis à jour mais pas les ressources appelées.

Des adresses écrites en dur dans des articles anciens, avec le protocole en clair.

Un outil tiers qui ne propose pas de version chiffrée, ce qui devient rare et signale un prestataire à remplacer.

Une ressource appelée depuis un domaine dont le certificat a expiré.

Deux étapes.

Repérer. La console du navigateur signale chaque ressource concernée. Un crawl du site complète le contrôle à l’échelle, ce qui est nécessaire dès quelques centaines de pages.

Réécrire. Remplacer les adresses en clair par leur équivalent chiffré, dans les gabarits et dans le contenu. Une réécriture en base de données traite les articles anciens d’un coup.

Une directive de sécurité permet de demander au navigateur de surclasser automatiquement les requêtes. Elle sert de filet, pas de correction : elle échoue si la ressource n’existe pas en chiffré.