Pagina's op de klantroute laden alle onderdelen via https
Een https-pagina die scripts, lettertypen of een boekingswidget via http laadt, is niet volledig beveiligd en kan onderdelen missen die de browser blokkeert.
Waarom het uitmaakt
Browsers blokkeren scripts, stylesheets, lettertypen en iframes die een https-pagina via http laadt. Staat je boekingswidget of contactformulier in zo'n iframe, dan loop je het risico dat de klant een lege plek ziet in plaats van een boekknop.
Wat via http binnenkomt, kan onderweg worden gelezen of aangepast. Een aangepast script kan alles op de pagina veranderen.
Zo is het goed geregeld
- Alle afbeeldingen, scripts, stylesheets, lettertypen en ingesloten widgets op je homepage, contactpagina en boekingspagina hebben een adres dat met https:// begint of een relatief adres op je eigen domein.
- Diensten van anderen die je insluit, zoals een kaart, video of boekingssysteem, gebruik je in hun https-versie.
- De console van de browser toont op deze pagina's geen meldingen over mixed content.
Zo controleer je het zelf
- Open de pagina in Chrome, Edge of Firefox, druk op F12 en kijk in het tabblad Console of er meldingen over mixed content staan.
- Bekijk de broncode van de pagina (Ctrl+U) en zoek op 'http://'; let op afbeeldingen, scripts, iframes en stylesheets, want gewone links naar andere sites tellen niet mee.
- Controleer elke pagina waarlangs een klant contact opneemt of boekt, niet alleen de homepage.
Zo los je het op
- Vervang http:// door https:// in de adressen van je eigen bestanden, of gebruik relatieve adressen.
- Vraag bij ingesloten diensten de https-insluitcode op bij de leverancier; heeft die geen https-versie, overweeg dan een andere aanbieder.
- Laat je websitebouwer als vangnet de header Content-Security-Policy: upgrade-insecure-requests toevoegen, zodat de browser onderdelen via https opvraagt. Een onderdeel zonder https-versie laadt dan niet, dus los de adressen zelf ook op.
De meeste afbeeldingen, audio en video zetten moderne browsers zelf om naar https, dus niet elke melding betekent dat een klant iets mist. Het rapport noemt ze wel, omdat ze wijzen op verouderde adressen in de pagina.
Wat de testklant controleert
AI-testklant opent de pagina's van de klantroute in een browser en noteert welke onderdelen via http worden geladen of door de browser worden geblokkeerd, met broncode en schermafbeelding als bewijs. Hij leest alleen wat elke bezoeker ontvangt en scant niet op kwetsbaarheden.
- Werkwijze
- Alleen openbare gegevens lezen
- Zit in
- Uitgebreid rapport
Bronnen
- Mixed contentMDN Web Docs (Mozilla) · gecontroleerd op 2 november 2026Definitie van mixed content; afbeeldingen, audio en video worden omgezet, scripts, stylesheets, iframes en lettertypen geblokkeerd; oplossen en opsporen via console en upgrade-insecure-requests.
- Mixed Content (W3C Candidate Recommendation Draft, 23 februari 2023)W3C · gecontroleerd op 2 november 2026Onderscheid tussen onderdelen die de browser naar https omzet (zoals afbeeldingen) en onderdelen die hij blokkeert (zoals scripts).
- Upgrade Insecure Requests (W3C Candidate Recommendation)W3C · gecontroleerd op 2 november 2026De header upgrade-insecure-requests laat de browser http-adressen van onderdelen via https opvragen.
- ICT-beveiligingsrichtlijnen voor webapplicaties (richtlijn U/WA.05)Nationaal Cyber Security Centrum (NCSC) · gecontroleerd op 2 november 2026Vermijd het mengen van http- en https-inhoud op een pagina.