Nettsiden min er merket «Ikke sikker» selv om den har SSL

Chrome skriver «Ikke sikker» til venstre i adressefeltet, på engelsk «Not secure», selv om nettsiden har et gyldig sertifikat.

Sertifikatet ditt er altså i orden. Problemet er at siden henter noe over usikret tilkobling, som regel et bilde, et skript eller et stilark som fortsatt ligger på en http://-adresse.

Nettleseren nekter å kalle en side trygg når deler av den kommer over en tilkobling ingen kan garantere for. Fagordet er blandet innhold.

Dette er noe annet enn at sertifikatet er utløpt. Da får du en rød advarsel og meldingen «Tilkoblingen din er ikke privat» i stedet, og den feilen har sin egen fremgangsmåte.

Hvorfor det er verre enn det ser ut

En liten grå tekst i adressefeltet virker uskyldig. To ting gjør den dyrere enn den ser ut:

Skjemaene dine blir merket. Har siden et kontaktskjema, viser Chrome en tydeligere advarsel når noen begynner å skrive i det. Folk som er i ferd med å legge igjen telefonnummeret sitt, stopper opp. Kommer skjemaposten heller ikke frem, se e-post fra kontaktskjemaet havner i spam.

Nettleserne blokkerer deler av siden. Skript og stilark over http blir ofte stoppet helt. Da kan siden se ødelagt ut for besøkende, mens den ser fin ut for deg fordi din nettleser har mellomlagret den gamle versjonen.

Slik finner du hva som er usikret

Åpne siden i Chrome, høyreklikk og velg Inspiser, og gå til fanen Console. Der står det én linje per element som lastes over http, med full adresse. Det er fasiten.

Er du ikke komfortabel med det, gir de fleste gratis SSL-sjekkere på nett samme svar hvis du limer inn adressen din.

De vanligste kildene

Bilder lagt inn før SSL ble slått på. Adressen til hvert bilde ble lagret i databasen med http:// den gangen, og der ligger den fortsatt.

Et innebygd kart, en video eller et skjema fra en ekstern tjeneste der koden ble limt inn med http.

Temaet eller et plugin som laster inn en skrifttype eller et bibliotek over http.

Lenker skrevet inn manuelt i menyer, tekstbokser eller widgets.

Hva du gjør

1. Sjekk adressene i WordPress først. Innstillinger og Generelt. Begge feltene skal begynne med https://.

2. Bytt ut adressene i databasen. Innholdet ligger lagret med gamle adresser, og de må skrives om. Det gjøres med et søk-og-erstatt over databasen, der http://dinbedrift.no byttes med https://dinbedrift.no. Pluginnet Better Search Replace gjør jobben, og har en tørrkjøring som viser hva som vil bli endret før du gjør det.

Ta sikkerhetskopi før du kjører et søk-og-erstatt. Det skriver om innholdet ditt i ett jafs, og det finnes ingen angreknapp.

3. Rett resten manuelt. Det som gjenstår etter databasejobben ligger som regel i temainnstillinger, menyer eller widgets.

4. Tøm hurtigbufferen både i nettsiden og hos Cloudflare hvis du bruker det, og sjekk i et privat vindu.

Ikke gjør dette

Ikke installer flere SSL-plugins. Et plugin som «tvinger https» skjuler symptomet ved å skrive om adressene mens siden lastes. Det virker, helt til pluginnet slås av eller kommer i konflikt med et annet. Adressene bør rettes i databasen, ikke lappes på i sanntid.

Ikke la det ligge fordi hengelåsen forsvant hos deg. Din nettleser husker. Andres gjør ikke det.

Når du bør ringe noen

• Du finner ikke ut hva som lastes usikret
• Nettstedet er en nettbutikk, og betalingssider er berørt
• Du tør ikke kjøre søk-og-erstatt på databasen selv, noe som er en helt rimelig grense å ha

Send oss adressen til nettsiden, så finner vi ut hva som lastes over http og retter det. Havner du i en omdirigeringsløkke etter å ha slått på SSL, se «omdirigerte deg for mange ganger».