اگر روی سایت شما SSL نصب است، تهدید گوگل کروم را جدی بگیرید!

تا حالا شده بعد از نصب SSL و فعال کردن HTTPS روی سایت، با ذوق و شوق سایتتون رو باز کنید اما به جای قفل امنیتی کنار آدرس سایت، یه هشدار عجیب ببینید؟

یا شاید SSL رو نصب کردید، همه چیز هم به نظر درست میاد، اما مرورگر هنوز سایت رو «کاملاً امن» نمی‌دونه و گاهی حتی پیام Not Secure نمایش می‌ده. در چنین شرایطی خیلی از مدیران سایت تصور می‌کنن گواهینامه SSL به درستی نصب نشده، در حالی که در اکثر مواقع مشکل از چیزی به نام Mixed Content یا «محتوای ترکیبی» هست.

خطای Mixed Content یکی از رایج‌ترین مشکلات سایت‌های وردپرسی بعد از فعال‌سازی SSL محسوب میشه. این خطا زمانی اتفاق می‌افته که بخشی از فایل‌های سایت مثل تصاویر، فایل‌های CSS یا اسکریپت‌ها هنوز از طریق HTTP بارگذاری می‌شن، در حالی که خود سایت روی HTTPS اجرا میشه. نتیجه؟ مرورگر به کاربر هشدار می‌ده، قفل SSL نمایش داده نمی‌شه و اعتماد بازدیدکنندگان هم تحت تأثیر قرار می‌گیره.

خبر خوب اینه که رفع این مشکل معمولاً سخت نیست؛ فقط باید بدونید دقیقاً از کجا سرچشمه گرفته و چطور باید اون رو پیدا کنید. در این مقاله یاد می‌گیریم خطای Mixed Content دقیقاً چیست، چرا ایجاد می‌شه، چگونه فایل مشکل‌دار رو پیدا کنیم و قدم‌به‌قدم اونو در وردپرس برطرف کنیم تا قفل امنیتی سایت دوباره با خیال راحت در مرورگر نمایش داده بشه.

خطای Mixed Content چیست؟

فرض کنید برای سایت خودتون گواهینامه SSL نصب کردید، آدرس سایت را از HTTP به HTTPS تغییر دادید و انتظار دارید همه چیز کاملاً امن و بدون مشکل کار کنه. اما ناگهان متوجه می‌شید قفل امنیتی مرورگر نمایش داده نمی‌شه یا مرورگر به کاربران هشدار می‌ده که این صفحه کاملاً امن نیست. در بیشتر مواقع، مقصر اصلی همین خطای Mixed Content است.

خطای Mixed Content زمانی رخ می‌دهد که صفحه سایت شما از طریق HTTPS بارگذاری بشه، اما بخشی از محتواهای داخل آن صفحه همچنان از طریق HTTP فراخوانی بشن. این محتوا می‌تونه یک تصویر ساده، فایل CSS، فایل جاوااسکریپت، فونت، ویدئو یا حتی یک iframe باشه. از دید مرورگر، زمانی که بخشی از صفحه از یک اتصال ناامن بارگذاری می‌شه، دیگه نمیتونه امنیت کامل اون صفحه رو تضمین کنه. به همین دلیل مرورگرها برای محافظت از کاربران، هشدارهای امنیتی نمایش می‌دن یا حتی بعضی از فایل‌های ناامن رو به‌طور کامل مسدود می‌کنن.

به زبان ساده، Mixed Content یعنی سایت شما بین دو دنیای امن و ناامن گیر کرده؛ بخشی از اطلاعات از مسیر رمزنگاری‌شده HTTPS منتقل می‌شن و بخش دیگه همچنان از مسیر قدیمی و ناامن HTTP. همین موضوع باعث می‌شود مرورگر نتونه به امنیت کامل صفحه اعتماد کنه.

چرا خطای Mixed Content اهمیت دارد؟

بعضی از مدیران سایت وقتی این خطا رو می‌بینند تصور می‌کنن فقط یک هشدار ظاهریه و تأثیر خاصی روی عملکرد سایت نداره. اما واقعیت اینه که Mixed Content می‌تونه روی اعتماد کاربران، فروش، تجربه کاربری و حتی نتایج سئوی سایت تأثیر منفی بذاره. به همین دلیل بهتره هرچه سریع‌تر برای رفع اون اقدام کنید.

کاهش اعتماد کاربران

اولین چیزی که کاربران هنگام ورود به یک سایت مشاهده می‌کنند، ظاهر و حس امنیت سایته. امروزه بیشتر افراد حتی اگر دانش فنی نداشته باشند، وجود قفل امنیتی کنار آدرس سایت رو نشانه معتبر بودن سایت می‌دونن. حالا تصور کنید کاربری وارد سایت شما بشه و به جای قفل سبز یا خاکستری، با هشدار «Not Secure» یا «این سایت کاملاً امن نیست» مواجه بشه.

در چنین شرایطی بسیاری از کاربران بدون اینکه حتی محتوای سایت را مطالعه کنن، احساس ناامنی خواهند داشت. این موضوع در سایت‌های شرکتی، فروشگاهی و خدماتی اهمیت بیشتری پیدا می‌کنه؛ زیرا کاربران قرار است اطلاعات شخصی، شماره تماس، آدرس یا حتی اطلاعات پرداخت خودشون رو در اختیار شما قرار بدن. اگر نتونین حس امنیت را در همان چند ثانیه اول ایجاد کنید، احتمال از دست دادن بخشی از مخاطبان کاملاً جدیه.

کاهش نرخ تبدیل و فروش

خطای Mixed Content فقط یک مشکل فنی نیست؛ این خطا می‌تواند مستقیماً روی درآمد سایت تأثیر بذاره.

فرض کنید کاربری بعد از چند دقیقه بررسی محصولات، تصمیم گرفته خرید خودش رو نهایی کنه. درست در همین لحظه متوجه هشدار امنیتی مرورگر می‌شه. طبیعیه که بسیاری از کاربران در چنین شرایطی از ادامه فرآیند خرید منصرف بشن. حتی اگر سایت شما واقعاً هک نشده باشه و هیچ مشکل امنیتی جدی نداشته باشه، همین هشدار ساده می‌تونه باعث بشه کاربر اعتمادش رو از دست بده.

این موضوع فقط به فروشگاه‌های اینترنتی محدود نمی‌شن. فرم‌های تماس، فرم‌های ثبت‌نام، درخواست مشاوره، رزرو خدمات و هر اقدامی که کاربر باید اطلاعاتی را وارد کنن، تحت تأثیر این هشدارها قرار می‌گیرن. به همین دلیل رفع Mixed Content در واقع یک سرمایه‌گذاری روی افزایش نرخ تبدیل سایت محسوب می‌شه.

تأثیر غیرمستقیم بر سئو

یکی از سؤال‌های پرتکرار کاربران این است که آیا خطای Mixed Content باعث جریمه شدن سایت در گوگل می‌شه؟

پاسخ کوتاه این است که گوگل جریمه مستقلی برای Mixed Content در نظر نگرفته؛ اما این خطا می‌تونه به شکل غیرمستقیم روی سئوی سایت اثر بذاره. زمانی که مرورگر بعضی از فایل‌های CSS یا JavaScript را مسدود می‌کنه، ممکنه بخشی از سایت به درستی بارگذاری نشه. این موضوع روی تجربه کاربری، سرعت نمایش صفحه و عملکرد سایت تأثیر منفی می‌ذاره. از طرف دیگر، اگر کاربران به دلیل هشدارهای امنیتی سریع‌تر سایت را ترک کنن، نرخ خروج افزایش پیدا می‌کنه و تعامل کاربران با سایت کاهش پیدا می‌کنه.

در نتیجه اگرچه Mixed Content مستقیماً یک فاکتور رتبه‌بندی نیست، اما می‌تونه مجموعه‌ای از مشکلات رو ایجاد کنه که در بلندمدت روی عملکرد سئوی سایت اثر منفی بذاره. به همین دلیل توصیه می‌شه این خطا را به عنوان یک هشدار جدی در نظر بگیرید و در اولین فرصت برطرفش کنید.

انواع Mixed Content

همه خطاهای Mixed Content به یک اندازه خطرناک نیستن. مرورگرها محتوای ناامن داخل صفحات HTTPS رو به دو دسته اصلی تقسیم می‌کنن: Passive Mixed Content و Active Mixed Content.

دونستن تفاوت این دو نوع خطا به شما کمک می‌کنه راحت‌تر متوجه بشید که مشکل سایت چقدر جدی هست و برای رفع اون باید روی کدوم بخش‌ها تمرکز بیشتری داشته باشید.

Passive Mixed Content

Passive Mixed Content یا «محتوای غیرفعال ناامن» به فایل‌هایی گفته میشه که مستقیماً روی عملکرد سایت تأثیر نمی‌ذارن و معمولاً فقط برای نمایش محتوا استفاده میشن. مثلاً موارد زیر جزو Passive Mixed Content محسوب میشن:

• تصاویر
• فایل‌های صوتی
• ویدئوها
• برخی فایل‌های چندرسانه‌ای

فرض کنید صفحه سایت شما با HTTPS باز میشه، اما لوگوی سایت هنوز از این آدرس بارگذاری میشه:

http://example.com/logo.jpg

در این حالت مرورگر متوجه میشه که تصویر از یک مسیر ناامن دریافت شده و ممکنه هشدار Mixed Content نمایش بده. این نوع خطا معمولاً باعث از کار افتادن سایت نمیشه، اما همچنان روی اعتماد کاربران تأثیر منفی می‌ذاره و ممکنه باعث بشه قفل امنیتی مرورگر نمایش داده نشه.

برای مثال تصور کنید یک فروشگاه اینترنتی دارید و تمام صفحات به‌درستی روی HTTPS اجرا میشن، اما چند تصویر محصول هنوز از HTTP بارگذاری میشن. شاید کاربران همچنان بتوانن خرید خودشون رو انجام بدن، اما مرورگر دیگه سایت رو کاملاً امن تشخیص نمیده.

Active Mixed Content

Active Mixed Content یا «محتوای فعال ناامن» خطرناک‌ترین نوع Mixed Content محسوب میشه. در این حالت فایل‌هایی از طریق HTTP بارگذاری میشن که مستقیماً روی عملکرد و رفتار صفحه تأثیر دارن. مثلاً:

• فایل‌های JavaScript
• فایل‌های CSS
• iframeها
• درخواست‌های Ajax
• فونت‌هایی که از سرویس‌های خارجی بارگذاری میشن

فرض کنید در سایت شما یک فایل جاوااسکریپت به این شکل فراخوانی شده باشه:

<script src="http://example.com/script.js"></script>

در چنین شرایطی مرورگر فقط هشدار نمایش نمیده؛ بلکه در بسیاری از مواقع فایل رو به‌طور کامل مسدود می‌کنه. چرا؟

چون اگر یک مهاجم به این فایل دسترسی پیدا کنه، می‌تونه کدهای مخرب وارد سایت کنه، اطلاعات کاربران رو سرقت کنه یا حتی رفتار کل صفحه رو تغییر بده. به همین دلیل مرورگرهای مدرن مثل Chrome و Firefox نسبت به Active Mixed Content بسیار سخت‌گیر هستن و معمولاً اجازه بارگذاری این فایل‌ها رو نمی‌دن.

اگه بعد از فعال کردن SSL ناگهان ظاهر سایت به‌هم ریخت، بخشی از استایل‌ها بارگذاری نشد یا بعضی قابلیت‌های سایت از کار افتاد، احتمال زیادی وجود داره که با Active Mixed Content مواجه شده باشید.

تفاوت Mixed Content با خطاهای SSL

یکی از اشتباهات رایج اینه که کاربران همه خطاهای امنیتی مرورگر رو با هم یکی می‌دونن. در حالی که Mixed Content فقط یکی از مشکلات مرتبط با HTTPS هست و با خطاهای SSL تفاوت داره.

برای درک بهتر، فرض کنید SSL روی سایت شما کاملاً نصب شده و معتبر هم هست. با این حال ممکنه بعضی فایل‌های داخل سایت هنوز از HTTP بارگذاری بشن. در این حالت گواهینامه SSL مشکلی نداره، اما مرورگر به دلیل وجود Mixed Content هشدار نمایش میده. از طرف دیگه، اگر خود گواهینامه SSL مشکل داشته باشه، با خطاهای متفاوتی مواجه میشید.

جدول زیر تفاوت این خطاها رو بهتر نشون میده:

به زبان ساده، وقتی با خطای Mixed Content روبه‌رو میشید، معمولاً SSL سایت شما فعال هست اما بعضی از فایل‌های صفحه هنوز از مسیر ناامن بارگذاری میشن. اما در خطاهای SSL، مشکل از خود گواهینامه، تنظیمات سرور یا اعتبار SSL هست.

به همین دلیل قبل از هر اقدامی باید مطمئن بشید دقیقاً با چه خطایی روبه‌رو هستید. چون روش رفع Mixed Content با رفع خطاهای SSL کاملاً متفاوته و هرکدوم مسیر عیب‌یابی مخصوص خودشون رو دارن.

چرا خطای Mixed Content در وردپرس رخ می‌دهد؟

حالا که با خطای Mixed Content و تأثیرات اون آشنا شدیم، احتمالاً این سؤال براتون پیش اومده که اصلاً چرا این مشکل در وردپرس ایجاد میشه؟

واقعیت اینه که در بیشتر مواقع، خود SSL یا وردپرس مقصر نیستن. معمولاً بخشی از تنظیمات سایت، قالب، افزونه‌ها یا فایل‌های قدیمی باعث میشن بعضی از منابع سایت همچنان از طریق HTTP بارگذاری بشن. خبر خوب اینه که وقتی دلیل ایجاد خطا رو پیدا کنید، رفع اون معمولاً کار پیچیده‌ای نیست. در ادامه رایج‌ترین دلایل بروز خطای Mixed Content در وردپرس رو بررسی می‌کنیم.

مهاجرت از HTTP به HTTPS

این مورد بدون شک رایج‌ترین علت بروز خطای Mixed Content در وردپرسه. خیلی از مدیران سایت ابتدا سایت خودشون رو بدون SSL راه‌اندازی می‌کنن و مدتی بعد تصمیم می‌گیرن HTTPS رو فعال کنن. در این حالت اگرچه آدرس سایت تغییر می‌کنه، اما بسیاری از لینک‌های قدیمی همچنان داخل دیتابیس وردپرس باقی می‌مونن. برای مثال ممکنه صدها یا حتی هزاران تصویر در نوشته‌ها و برگه‌های سایت با آدرس زیر ذخیره شده باشن:

http://example.com/wp-content/uploads/image.jpg

بعد از فعال شدن SSL، صفحه با HTTPS بارگذاری میشه اما تصاویر همچنان از HTTP فراخوانی میشن و مرورگر خطای Mixed Content نمایش میده. به همین دلیل بعد از نصب SSL فقط تغییر آدرس سایت کافی نیست و باید مطمئن بشید تمام لینک‌های قدیمی داخل دیتابیس هم به HTTPS تبدیل شده باشن.

تنظیمات اشتباه وردپرس

گاهی مشکل از تنظیمات خود وردپرسه. در بخش «تنظیمات ← عمومی» دو فیلد مهم وجود داره:

• نشانی وردپرس (WordPress Address)
• نشانی سایت (Site Address)

اگه حتی یکی از این آدرس‌ها هنوز با HTTP تنظیم شده باشه، ممکنه بخشی از فایل‌ها و لینک‌های سایت از طریق HTTP بارگذاری بشن.

نمونه صحیح:

https://example.com

نمونه اشتباه:

http://example.com

این مورد ساده به نظر می‌رسه، اما یکی از اولین چیزهاییه که هنگام عیب‌یابی باید بررسیش کنید.

قالب‌های قدیمی

بعضی از قالب‌های قدیمی یا قالب‌هایی که به‌صورت غیراستاندارد توسعه داده شدن، آدرس فایل‌ها رو به شکل دستی داخل کدها قرار میدن. مثلاً ممکنه توسعه‌دهنده قالب چند سال پیش این کد رو داخل قالب نوشته باشه:

http://example.com/wp-content/themes/theme/style.css

در چنین شرایطی حتی اگه SSL روی سایت فعال باشه، مرورگر همچنان فایل موردنظر رو از HTTP دریافت می‌کنه و خطای Mixed Content ظاهر میشه. اگر بعد از نصب SSL متوجه شدید ظاهر سایت به‌هم ریخته یا بعضی استایل‌ها بارگذاری نمیشن، بهتره کدهای قالب رو بررسی کنید. مخصوصاً اگر از قالب‌های قدیمی یا سفارشی استفاده می‌کنید.

افزونه‌های ناسازگار

افزونه‌ها هم می‌تونن عامل ایجاد Mixed Content باشن. برخی افزونه‌های قدیمی هنوز برای بارگذاری فایل‌های CSS، جاوااسکریپت یا تصاویر از آدرس‌های HTTP استفاده می‌کنن. بعضی افزونه‌ها هم به سرویس‌های خارجی متصل میشن و منابع موردنیاز خودشون رو از لینک‌های ناامن دریافت می‌کنن.

برای مثال ممکنه یک افزونه فرم تماس یا اسلایدر، فایل‌های خودش رو از آدرس HTTP بارگذاری کنه. در این حالت حتی اگه تمام بخش‌های سایت شما درست تنظیم شده باشن، باز هم خطای Mixed Content ایجاد میشه. اگه بعد از نصب یا به‌روزرسانی یک افزونه با این خطا مواجه شدید، بهتره موقتاً افزونه رو غیرفعال کنید و دوباره سایت رو بررسی کنید.

سرویس‌های شخص ثالث

گاهی مشکل اصلاً از وردپرس یا هاست شما نیست. بسیاری از سایت‌ها از سرویس‌های جانبی استفاده می‌کنن، مثل:

• چت آنلاین
• سیستم‌های آمارگیری
• ابزارهای تبلیغاتی
• نقشه‌های آنلاین
• ویدئوهای جاسازی‌شده
• iframeهای خارجی

اگه یکی از این سرویس‌ها فایل‌های خودش رو از طریق HTTP بارگذاری کنه، مرورگر کل صفحه رو دارای Mixed Content تشخیص میده.

برای مثال فرض کنید یک ابزار چت آنلاین روی سایت نصب کرده‌اید. اگر فایل جاوااسکریپت این سرویس از یک آدرس HTTP فراخوانی بشه، مرورگر اون رو به‌عنوان محتوای ناامن شناسایی می‌کنه. به همین دلیل هنگام بررسی خطا، فقط به فایل‌های سایت خودتون محدود نشید و سرویس‌های جانبی رو هم بررسی کنید.

CDN و کش

یکی دیگه از دلایل نسبتاً رایج Mixed Content، تنظیمات نادرست CDN یا کش سایته. فرض کنید SSL رو فعال کرده‌اید و تمام لینک‌های سایت هم اصلاح شدن، اما CDN هنوز نسخه قدیمی فایل‌ها رو ذخیره کرده. در این حالت ممکنه مرورگر همچنان فایل‌هایی با آدرس HTTP دریافت کنه.

این مشکل بیشتر در سرویس‌هایی مثل:

• Cloudflare
• آروان‌کلاد
• CDN77
• ابر آسیاتک

مشاهده میشه.

علاوه بر CDN، کش وردپرس هم می‌تونه دردسرساز بشه. افزونه‌هایی مثل LiteSpeed Cache، WP Rocket یا W3 Total Cache گاهی نسخه قدیمی صفحات رو ذخیره می‌کنن و باعث میشن حتی بعد از رفع مشکل، همچنان هشدار Mixed Content مشاهده بشه. به همین دلیل بعد از هر تغییری بهتره:

• کش وردپرس رو پاک کنید.
• کش CDN رو پاک کنید.
• مرورگر رو با Ctrl + F5 رفرش کنید.
• سایت رو در حالت Incognito بررسی کنید.

در بسیاری از مواقع، خطایی که فکر می‌کنید هنوز وجود داره، در واقع فقط از حافظه کش بارگذاری میشه.

همون‌طور که دیدید، خطای Mixed Content می‌تونه از بخش‌های مختلف سایت ایجاد بشه؛ از دیتابیس وردپرس گرفته تا قالب، افزونه‌ها، سرویس‌های جانبی و حتی تنظیمات CDN. به همین دلیل قبل از اقدام برای رفع مشکل، باید منبع اصلی خطا رو پیدا کنید. در بخش بعدی یاد می‌گیریم چطور دقیقاً فایل یا منبعی که باعث ایجاد Mixed Content شده رو شناسایی کنیم.

چگونه خطای Mixed Content را شناسایی کنیم؟

قبل از اینکه بخواهید خطای Mixed Content را برطرف کنید، باید دقیقاً بدانید مشکل از کجا ایجاد شده. یکی از اشتباهات رایج این است که کاربران بلافاصله سراغ نصب افزونه‌های مختلف می‌روند، در حالی که هنوز منبع اصلی خطا را پیدا نکردن.

خوشبختانه مرورگرها و ابزارهای مختلفی وجود دارن که می‌توانند به شما نشان بدن کدام فایل یا بخش از سایت همچنان از HTTP بارگذاری می‌شه. هرچه منبع خطا را دقیق‌تر پیدا کنید، رفع اون هم سریع‌تر و راحت‌تر خواهد بود. در ادامه با چند روش کاربردی برای شناسایی خطای Mixed Content آشنا می‌شیم.

استفاده از Developer Tools مرورگر

یکی از دقیق‌ترین و سریع‌ترین روش‌ها برای پیدا کردن خطای Mixed Content، استفاده از ابزار توسعه‌دهندگان (Developer Tools) مرورگره. برای این کار وارد صفحه‌ای از سایت بشید که هشدار امنیتی در آن مشاهده می‌شه و سپس کلید F12 را فشار بدید. بعد از باز شدن پنجره Developer Tools وارد تب Console شوید.

اگر خطای Mixed Content در صفحه وجود داشته باشد، معمولاً پیامی مشابه نمونه زیر مشاهده خواهید کرد:

Mixed Content: The page at 'https://example.com'
was loaded over HTTPS,
but requested an insecure image
'http://example.com/uploads/banner.jpg'

در نگاه اول ممکنه این پیام کمی پیچیده به نظر برسه، اما در واقع اطلاعات بسیار ارزشمندی در اختیار شما قرار می‌ده.

این خطا معمولاً سه بخش مهم داره:

1. آدرس صفحه‌ای که خطا در آن رخ داده است.
2. نوع فایل مشکل‌دار (تصویر، CSS، JavaScript و …)
3. آدرس دقیق فایل ناامن

در مثال بالا مرورگر به ما می‌گه که فایل زیر از طریق HTTP بارگذاری شده است:

http://example.com/uploads/banner.jpg

حالا می‌دونیم دقیقاً باید روی همین فایل تمرکز کنیم.

چطور منبع خطا را تشخیص دهیم؟

گاهی فقط دیدن آدرس فایل کافی نیست و باید بدونیم مشکل از کدوم بخش سایت ایجاد شده. به طور کلی:

• اگر فایل داخل پوشه uploads باشد، معمولاً مشکل از دیتابیس وردپرس یا محتوای نوشته‌هاست.
• اگر فایل داخل پوشه themes باشد، احتمالاً قالب سایت آدرس HTTP را به‌صورت دستی فراخوانی کرده است.
• اگر فایل داخل پوشه plugins باشد، باید تنظیمات یا کدهای افزونه را بررسی کنید.
• اگر دامنه فایل با دامنه سایت شما متفاوت باشد، احتمالاً مشکل از یک سرویس جانبی یا ابزار شخص ثالث است.

به همین دلیل تب Console معمولاً اولین جاییه که هنگام عیب‌یابی باید بهش مراجعه کنید.

بررسی تب Security مرورگر

مرورگر Chrome یک بخش اختصاصی برای بررسی وضعیت امنیت سایت دارد که بسیاری از کاربران از وجودش خبر ندارن. برای دسترسی به این بخش:

1. وارد سایت بشید.
2. کلید F12 را فشار بدید.
3. وارد تب Security بشید.

در این قسمت مرورگر وضعیت گواهینامه SSL و امنیت اتصال رو بررسی می‌کنه. اگه سایت کاملاً امن باشه، معمولاً پیامی مشابه موارد زیر مشاهده می‌کنید:

Connection is secure

اما اگه Mixed Content وجود داشته باشه، Chrome معمولاً هشدارهایی درباره منابع ناامن یا فایل‌هایی که از HTTP بارگذاری شدن نمایش می‌ده.

مزیت این بخش اینه که علاوه بر Mixed Content می‌تونید سایر مشکلات مربوط به SSL و HTTPS رو هم شناسایی کنید. این ابزار به‌خصوص زمانی مفیده که مطمئن نیستید مشکل از گواهینامه SSL هست یا از فایل‌های ناامن داخل صفحه.

مشاهده سورس صفحه

گاهی اوقات خطای Mixed Content آن‌قدر سادست که حتی بدون ابزارهای پیشرفته هم میشه پیداش کرد. برای مشاهده سورس صفحه:

• در ویندوز کلیدهای Ctrl + U
• در مک Command + Option + U

رو فشار بدید. بعد از باز شدن سورس صفحه، کلیدهای Ctrl + F را بزنید و عبارت زیر رو جستجو کنید:

http://

اگر در نتایج جستجو لینک‌هایی با HTTP مشاهده کردید، احتمال دارد یکی از آن‌ها عامل ایجاد خطای Mixed Content باشد. برای مثال ممکن است به چنین موردی برسید:

<img src="http://example.com/uploads/logo.jpg">

یا:

<link rel="stylesheet" href="http://example.com/style.css">

در این حالت به‌راحتی می‌تونید منبع مشکل را پیدا کرده و آن را به HTTPS تغییر بدید.

البته این روش همیشه جواب نمی‌ده، چون برخی فایل‌ها به‌صورت پویا توسط جاوااسکریپت بارگذاری می‌شن و در سورس اولیه صفحه قابل مشاهده نیستند. با این حال برای بررسی‌های اولیه می‌تونه بسیار مفید باشه.

بررسی دیتابیس وردپرس

اگه SSL رو به‌تازگی فعال کردید و سایت قبلاً با HTTP کار می‌کرده، احتمال بسیار زیادی وجود داره که ریشه مشکل داخل دیتابیس وردپرس باشه. در واقع یکی از رایج‌ترین دلایل خطای Mixed Content اینه که آدرس‌های قدیمی سایت همچنان در پایگاه داده ذخیره شدن. برای مثال ممکنه هزاران تصویر یا لینک داخل دیتابیس با این آدرس ذخیره شده باشند:

http://example.com

در حالی که سایت اکنون با HTTPS اجرا می‌شود.

بهترین راه برای بررسی این موضوع استفاده از افزونه‌هایی مانند:

• Better Search Replace
• Search Regex

است.

با استفاده از این ابزارها می‌تونید در کل دیتابیس جستجو کنید و ببینید آیا هنوز آدرس‌های HTTP در سایت وجود دارند یا خیر. برای مثال می‌توانید عبارت زیر رو جستجو کنید:

http://example.com

اگر نتایج زیادی مشاهده کردید، احتمالاً بخش بزرگی از خطای Mixed Content از همین جا ایجاد شده است. در بسیاری از سایت‌های وردپرسی، اصلاح همین آدرس‌ها مشکل را به‌طور کامل برطرف می‌کند.

کدام روش بهتر است؟

اگر بخوایم روش‌ها را از نظر سرعت و دقت رتبه‌بندی کنیم:

معمولاً بهترین رویکرد اینه که ابتدا از Console مرورگر شروع کنید. اگر منبع خطا مشخص نشد، سراغ بررسی دیتابیس و سایر روش‌ها بروید. در بیشتر مواقع با همین چند مرحله می‌توانید منشأ اصلی خطای Mixed Content را پیدا کنید و برای رفع آن اقدام کنید.

آموزش رفع خطای Mixed Content در وردپرس

حالا که منبع خطا رو شناسایی کردید، وقتشه سراغ رفع مشکل برید. خبر خوب اینه که در بیشتر مواقع، خطای Mixed Content با چند اقدام ساده برطرف میشه و نیازی به دانش برنامه‌نویسی یا تغییرات پیچیده روی سرور ندارید. البته پیشنهاد می‌کنم قبل از اعمال هر تغییری، از سایتتون یک نسخه پشتیبان تهیه کنید تا اگر مشکلی پیش اومد، بتونید سایت رو به حالت قبل برگردونید.

بهتره مراحل زیر رو به ترتیب انجام بدید. خیلی وقت‌ها مشکل در همان مراحل ابتدایی برطرف میشه و نیازی به انجام همه راهکارها نخواهید داشت.

مرحله اول _ بررسی تنظیمات وردپرس

اولین جایی که باید بررسی کنید، تنظیمات اصلی وردپرسه. وارد پیشخوان وردپرس بشید و از مسیر: تنظیمات ← عمومی

دو گزینه زیر رو بررسی کنید:

• نشانی وردپرس (WordPress Address)
• نشانی سایت (Site Address)

هر دو آدرس باید با HTTPS شروع بشن.

نمونه صحیح:

https://yourdomain.com

نمونه اشتباه:

http://yourdomain.com

گاهی فقط همین تنظیم ساده باعث میشه بخش‌هایی از سایت همچنان از HTTP بارگذاری بشن. بعد از اعمال تغییرات، تنظیمات رو ذخیره کنید و سایت رو دوباره بررسی کنید.

مرحله دوم _ مطمئن شدن از نصب صحیح SSL

قبل از اینکه سراغ رفع Mixed Content برید، باید مطمئن بشید SSL واقعاً روی سایت فعال و سالمه. گاهی مدیر سایت تصور می‌کنه SSL نصب شده، اما در واقع:

• گواهینامه منقضی شده
• SSL روی همه دامنه‌ها فعال نیست
• نسخه www و بدون www به درستی تنظیم نشده
• گواهینامه روی زیردامنه‌ها فعال نیست

ساده‌ترین راه برای بررسی این موضوع اینه که آدرس سایتتون رو در مرورگر باز کنید و روی آیکون قفل کنار آدرس سایت کلیک کنید. اگر مرورگر پیام‌هایی مثل:

• Connection is Secure
• Secure Connection

نمایش میده، معمولاً SSL به درستی فعال شده. همچنین می‌تونید از ابزارهای آنلاین بررسی SSL استفاده کنید تا مطمئن بشید گواهینامه شما مشکل خاصی نداره. اگر خود SSL مشکل داشته باشه، رفع Mixed Content کمکی به نمایش قفل امنیتی نخواهد کرد.

مرحله سوم _ اصلاح لینک‌های دیتابیس

در بسیاری از سایت‌های وردپرسی، مهم‌ترین علت Mixed Content باقی موندن لینک‌های HTTP داخل دیتابیسه. فرض کنید چند سال پیش صدها مقاله منتشر کردید و در تمام اون‌ها تصاویر با این آدرس ذخیره شدن:

http://yourdomain.com/wp-content/uploads/image.jpg

حالا SSL فعال شده اما این آدرس‌ها همچنان در پایگاه داده وجود دارن. نتیجه؟ مرورگر تصاویر رو از HTTP دریافت می‌کنه و خطای Mixed Content نمایش داده میشه. به همین دلیل باید آدرس‌های قدیمی رو پیدا و اصلاح کنید.

استفاده از افزونه Better Search Replace

یکی از بهترین ابزارها برای این کار افزونه Better Search Replace هست.

این افزونه به شما کمک می‌کنه تمام آدرس‌های HTTP موجود در دیتابیس رو پیدا و با HTTPS جایگزین کنید. بعد از نصب افزونه:

وارد بخش Tools → Better Search Replace بشید.

در قسمت Search For آدرس قدیمی سایت رو وارد کنید:

http://yourdomain.com

در قسمت Replace With آدرس جدید رو وارد کنید:

https://yourdomain.com

و تمام جداول دیتابیس رو انتخاب کنید.

گزینه Run as Dry Run رو فعال کنید. عملیات جستجو رو اجرا کنید.

Dry Run هیچ تغییری در سایت ایجاد نمی‌کنه و فقط نشون میده چند رکورد نیاز به اصلاح دارن. اگر نتایج درست بود، گزینه Dry Run رو غیرفعال کنید و عملیات جایگزینی رو انجام بدید. این روش معمولاً بخش بزرگی از خطاهای Mixed Content رو به‌طور کامل برطرف می‌کنه.

پیشنهاد: حتماً قبل از اجرای عملیات Replace از دیتابیس بکاپ بگیرید.

مرحله چهارم _ استفاده از افزونه Really Simple SSL

اگر نمی‌خواید به‌صورت دستی تنظیمات مختلف رو بررسی کنید، افزونه Really Simple SSL می‌تونه کار رو خیلی راحت‌تر کنه. این افزونه بعد از فعال شدن:

• SSL رو شناسایی می‌کنه
• آدرس‌های سایت رو اصلاح می‌کنه
• بسیاری از خطاهای رایج HTTPS رو برطرف می‌کنه
• برخی منابع HTTP رو به HTTPS تبدیل می‌کنه

بعد از نصب افزونه:

افزونه رو فعال کنید. روی دکمه Activate SSL کلیک کنید.

تنظیمات پیشنهادی افزونه رو اعمال کنید. کش سایت رو پاک کنید.

البته باید بدونید که این افزونه همیشه همه مشکلات رو حل نمی‌کنه. اگر لینک‌های HTTP زیادی داخل دیتابیس یا قالب وجود داشته باشه، ممکنه همچنان نیاز به اصلاح دستی داشته باشید. به همین دلیل بهتره Really Simple SSL رو به عنوان یک ابزار کمکی در نظر بگیرید، نه تنها راه‌حل موجود.

مرحله پنجم: فعال‌سازی ریدایرکت 301

حتی اگر تمام لینک‌های سایت رو اصلاح کرده باشید، باز هم باید مطمئن بشید کاربران و موتورهای جستجو همیشه به نسخه HTTPS هدایت میشن. برای این کار از ریدایرکت 301 استفاده می‌کنیم. ریدایرکت 301 به مرورگر و گوگل اعلام می‌کنه که نسخه HTTPS آدرس اصلی سایت شماست. به زبان ساده:

هر کسی آدرس زیر رو باز کنه:

http://yourdomain.com

به‌صورت خودکار به:

https://yourdomain.com

منتقل میشه.

اگر از وب‌سرور Apache استفاده می‌کنید، می‌تونید کد زیر رو در فایل .htaccess قرار بدید:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

بعد از اعمال این تغییرات، حتماً عملکرد سایت رو بررسی کنید تا مطمئن بشید حلقه ریدایرکت (Redirect Loop) ایجاد نشده باشه.

رفع Mixed Content در Cloudflare

اگر سایتتون از Cloudflare استفاده می‌کنه، ممکنه ریشه مشکل از تنظیمات SSL این سرویس باشه. یکی از رایج‌ترین اشتباهات، استفاده از حالت Flexible SSL هست. در این حالت ارتباط بین بازدیدکننده و Cloudflare رمزنگاری میشه، اما ارتباط بین Cloudflare و سرور ممکنه همچنان از HTTP استفاده کنه. این موضوع گاهی باعث ایجاد خطاهای مختلف HTTPS و Mixed Content میشه. برای بررسی تنظیمات:

1. وارد حساب Cloudflare بشید.
2. به بخش SSL/TLS برید.
3. وارد تب Overview بشید.

بهتره حالت SSL روی یکی از گزینه‌های زیر تنظیم شده باشه:

• Full
• Full (Strict)

حالت Full (Strict) امن‌ترین گزینه محسوب میشه و تا زمانی که SSL معتبر روی سرور نصب شده باشه، بهترین انتخاب خواهد بود. بعد از اعمال تغییرات:

• کش Cloudflare رو پاک کنید.
• سایت رو در حالت ناشناس مرورگر بررسی کنید.
• مجدداً Console مرورگر رو چک کنید.

رفع Mixed Content در هاست‌های ایرانی

اگر از هاست‌های ایرانی استفاده می‌کنید، علاوه بر موارد بالا چند نکته دیگه هم وجود داره که بهتره بررسیشون کنید.

فعال بودن Auto SSL

بعضی از هاست‌ها SSL رو به‌صورت خودکار تمدید می‌کنن. اگر Auto SSL غیرفعال شده باشه یا تمدید گواهینامه با مشکل مواجه شده باشه، ممکنه سایت با خطاهای امنیتی روبه‌رو بشه.

بررسی نسخه www و بدون www

گاهی SSL فقط روی یکی از نسخه‌های دامنه فعال شده:

https://www.example.com

اما نسخه:

https://example.com

گواهینامه معتبری نداره.

در چنین شرایطی ممکنه بخشی از منابع سایت از دامنه‌ای بارگذاری بشن که SSL روی اون به درستی فعال نیست.

بررسی تنظیمات CDN ایرانی

اگر از سرویس‌هایی مثل:

• آروان‌کلاد
• ابر آسیاتک
• ابر دراک
• سایر CDNهای ایرانی

استفاده می‌کنید، تنظیمات SSL و کش رو بررسی کنید. گاهی نسخه کش‌شده فایل‌ها همچنان با HTTP ذخیره شده و باعث ایجاد خطا میشه.

پاکسازی کش سرور

بعضی از شرکت‌های هاستینگ از کش سمت سرور استفاده می‌کنن. در این شرایط حتی بعد از رفع کامل مشکل، ممکنه نسخه قدیمی صفحات همچنان نمایش داده بشه. اگر همه راهکارها رو انجام دادید اما خطا همچنان باقی بود، با پشتیبانی هاست تماس بگیرید و درخواست پاکسازی کش سرور رو ثبت کنید.

در بیشتر سایت‌های وردپرسی، خطای Mixed Content با بررسی تنظیمات وردپرس، اصلاح لینک‌های دیتابیس و پاکسازی کش برطرف میشه. اگر بعد از انجام این مراحل همچنان با مشکل مواجه بودید، دوباره Console مرورگر رو بررسی کنید؛ چون تقریباً همیشه فایل یا منبعی که باعث ایجاد خطا شده، خودش رو در خطاهای مرورگر نشون میده.

برای لحن میهن وردپرس، متن فعلی هنوز کمی رسمی و کتابی است. بهتره حس «دارم کنار کاربر نشستم و دارم کمکش می‌کنم» داشته باشه. این نسخه روان‌تر، صمیمی‌تر و نزدیک‌تر به لحن رایج مقالات میهن وردپرسه:

چک‌لیست کامل رفع خطای Mixed Content

اگر نمی‌خواید دوباره چند ساعت دنبال علت خطا بگردید، قبل از اینکه مقاله رو ببندید، این چک‌لیست رو یک بار مرور کنید. خیلی وقت‌ها فقط به خاطر جا افتادن یک مورد کوچیک، خطا همچنان باقی می‌مونه و آدم فکر می‌کنه مشکل از جای دیگه‌ست. پس بهتره همه موارد زیر رو یکی‌یکی بررسی کنید.

چک‌لیست رفع Mixed Content در وردپرس

✅ گواهینامه SSL روی دامنه فعال شده.

✅ نسخه HTTPS سایت بدون خطا باز میشه.

✅ آدرس «نشانی وردپرس» روی HTTPS تنظیم شده.

✅ آدرس «نشانی سایت» روی HTTPS تنظیم شده.

✅ ریدایرکت 301 از HTTP به HTTPS فعال شده.

✅ هیچ لینک HTTP داخل نوشته‌ها و برگه‌های سایت باقی نمونده.

✅ لینک‌های قدیمی داخل دیتابیس به HTTPS تبدیل شدن.

✅ قالب سایت فایل‌های CSS و JavaScript رو با HTTPS فراخوانی می‌کنه.

✅ افزونه‌های نصب شده از منابع HTTP استفاده نمی‌کنن.

✅ ابزارهای جانبی مثل چت آنلاین، آمارگیر یا تبلیغات بررسی شدن.

✅ تنظیمات SSL در Cloudflare یا CDN به درستی انجام شده.

✅ کش وردپرس پاک شده.

✅ کش CDN پاک شده.

✅ کش مرورگر پاک شده یا سایت در حالت Incognito بررسی شده.

✅ در تب Console مرورگر دیگه خطای Mixed Content نمایش داده نمیشه.

اگر همه این موارد رو تیک زدید، به احتمال زیاد مشکل سایتتون به طور کامل برطرف شده و قفل امنیتی باید بدون هیچ هشداری نمایش داده بشه.

مثال واقعی از رفع مشکل

بیاید یک مثال واقعی رو با هم بررسی کنیم. فرض کنید به‌تازگی برای فروشگاه اینترنتی خودتون SSL نصب کردید. انتظار دارید قفل امنیتی کنار آدرس سایت نمایش داده بشه، اما هر بار که سایت رو باز می‌کنید مرورگر هشدار میده که صفحه کاملاً امن نیست. طبیعتاً اولین فکری که به ذهنتون میرسه اینه که SSL درست نصب نشده، اما همیشه مشکل از SSL نیست. در چنین شرایطی وارد سایت میشید، کلید F12 رو می‌زنید و به تب Console میرید.

اونجا با خطایی شبیه این مواجه میشید:

Mixed Content:
The page at 'https://example.com'
was loaded over HTTPS,
but requested an insecure image
'http://example.com/uploads/banner.jpg'

این خطا داره خیلی واضح بهتون میگه که یکی از تصاویر سایت هنوز از HTTP بارگذاری میشه. حالا دیگه می‌دونید مشکل از SSL نیست. مشکل از یک تصویر قدیمی داخل سایت هست.

بعد از کمی بررسی متوجه میشید این تصویر چند سال پیش داخل یکی از برگه‌های سایت آپلود شده و آدرسش هنوز با HTTP داخل دیتابیس ذخیره شده. برای رفع مشکل:

1. افزونه Better Search Replace رو نصب می‌کنید.
2. همه آدرس‌های HTTP رو به HTTPS تبدیل می‌کنید.
3. کش سایت رو پاک می‌کنید.
4. کش مرورگر رو پاک می‌کنید.
5. صفحه رو دوباره باز می‌کنید.

نتیجه؟ قفل امنیتی مرورگر برمی‌گرده، هشدارها از بین میرن و سایت بدون مشکل باز میشه. جالب اینجاست که بخش بزرگی از خطاهای Mixed Content دقیقاً به همین شکل ایجاد میشن؛ یعنی یک فایل یا تصویر قدیمی داخل سایت باقی مونده و کل صفحه رو دچار مشکل کرده.

سوالات متداول

جمع‌بندی

خطای Mixed Content یکی از رایج‌ترین دردسرهایی هست که بعد از فعال کردن SSL در وردپرس ممکنه باهاش روبه‌رو بشید. این خطا زمانی اتفاق میفته که بخشی از فایل‌های سایت هنوز از HTTP بارگذاری بشن، در حالی که صفحه اصلی با HTTPS نمایش داده میشه.

شاید در نگاه اول این مشکل فقط یک هشدار ساده مرورگر به نظر برسه، اما در عمل می‌تونه روی اعتماد کاربران، فروش، نرخ تبدیل و حتی عملکرد سئوی سایت تأثیر منفی بذاره.خوشبختانه در بیشتر مواقع رفع این خطا سخت نیست. کافی هست منبع مشکل رو پیدا کنید، تنظیمات وردپرس رو بررسی کنید، لینک‌های قدیمی دیتابیس رو اصلاح کنید، وضعیت SSL و CDN رو چک کنید و در نهایت کش سایت رو پاک کنید.

اگر بخوام مهم‌ترین نکته این مقاله رو در یک جمله خلاصه کنم، اون جمله اینه: اول Console مرورگر رو بررسی کنید؛ چون تقریباً همیشه فایل یا بخشی که باعث ایجاد خطای Mixed Content شده، خودش رو اونجا لو میده.

بعد از رفع مشکل هم یادتون نره سایت رو در چند صفحه مختلف، چند مرورگر متفاوت و حتی روی موبایل تست کنید تا مطمئن بشید همه چیز درست کار می‌کنه و قفل امنیتی SSL بدون هیچ هشدار یا خطایی نمایش داده میشه. موفق و پیروز باشید. 🙂

تیم تولید محتوا

ما در تیم تولید محتوای میهن وردپرس در تلاش هستیم تا بهترین مقالات آموزشی در زمینه وردپرس و کسب‌و‌کارهای اینترنتی را تهیه کنیم. صحت محتوای این صفحه توسط رضا راد بررسی خواهد شد.