Miért írja a böngészőm, hogy „Nem biztonságos” a weboldalam mellett?

Megnyitod a saját weboldaladat, és közvetlenül a cím mellett a böngésző azt írja: „Nem biztonságos”, vagy áthúzott lakatot mutat. Természetes, hogy aggódsz: úgy tűnik, mintha valaki feltörte volna az oldaladat, vagy mintha minden látogató riasztást kapna még mielőtt egyáltalán meglátná, mit kínálsz. A jó hír az, hogy a legtöbb esetben ez nem támadás — hanem egy konfigurációs probléma, amely javítható.

Ebben a cikkben egyszerű nyelven elmagyarázom, mit is jelent valójában ez az üzenet, miért jelenik meg (néha akkor is, ha már van SSL-tanúsítványod), és hogyan tüntetheted el. Megérted majd a különbséget a HTTP és a HTTPS között, hogy mi a „kevert tartalom” (mixed content) és miért ez a fő bűnös, valamint pontosan mit érdemes ellenőrizned, mielőtt bárkinek fizetnél egy „sürgős javításért”.

Mit jelent valójában a „Nem biztonságos”

A böngésző nem azt mondja, hogy az oldalad fertőzött vagy veszélyes. Valami egyszerűbbet mond: a látogató és az oldalad közötti kapcsolat nem titkosított, vagy nem teljesen titkosított.

Két protokollt használ a böngésző egy oldal betöltéséhez:

• HTTP — az adatok titkosítatlanul utaznak. Bárki, aki ugyanazon a hálózaton van (például egy nyilvános WiFi-n), elméletileg láthatja, mit küldenek.
• HTTPS — ugyanazok az adatok, de SSL/TLS-tanúsítvánnyal titkosítva. Itt jelenik meg a zárt lakat.

Amikor a „Nem biztonságos” üzenetet látod, a böngésző azt közli, hogy az oldal HTTP-n keresztül töltődik be, vagy hogy bár a cím https:// előtaggal kezdődik, az oldal egyes erőforrásai (képek, szkriptek, betűtípusok) még mindig HTTP-n keresztül töltődnek. Ez nem büntetés a Google-től — hanem biztonsági jelzés annak, aki az oldaladra érkezik.

Miért jelenik meg a figyelmeztetés — a valódi okok

A gyakorlatban leginkább négy helyzettel találkozom:

• Egyáltalán nincs SSL-tanúsítvány. Az oldal http:// protokollon keresztül elérhető, és ennyi. Gyakori régebbi oldalaknál vagy olyan tárhelyeknél, ahol az SSL-t soha nem engedélyezték.
• Van tanúsítványod, de az oldal nem irányít át HTTPS-re. A http:// cím továbbra is elérhető marad, és a böngésző megjelöli.
• Kevert tartalom. Az oldal https:// protokollon van, de a kód még mindig http:// protokollon keresztül kér le képeket, szkripteket vagy betűtípusokat. Ez a leggyakoribb ok egy migráció után.
• Lejárt vagy hibás tanúsítvány. Az SSL valaha érvényes volt, de lejárt, vagy egy másik domainre lett kiállítva (pl. www-vel vagy www nélkül).

Leggyakrabban kevert tartalomról van szó: telepíted a tanúsítványt, a cím https:// lesz, de egyetlen http:// protokollon keresztül betöltött kép is elegendő ahhoz, hogy a böngésző részben nem biztonságosnak tekintse az oldalt.

Mi a „kevert tartalom”, és hogyan találhatod meg

A kevert tartalom azt jelenti, hogy egy biztonságos oldal (https://) még mindig nem biztonságos csatornán (http://) keresztül kér le erőforrásokat. A böngészők különbözőképpen kezelik ezeket:

• Passzív kevert tartalom (képek, videó) — általában még betöltődik, de a lakat eltűnik.
• Aktív kevert tartalom (szkriptek, CSS-fájlok, iframe-ek) — teljesen blokkolható, és az oldal vizuálisan is széteshet.

Hogyan veheted észre magad, technikai tudás nélkül: nyisd meg az oldaladat, nyomd meg az F12 billentyűt (Fejlesztői eszközök), és nézd meg a Console (konzol) fület. Az olyan üzenetek, mint „Mixed Content: ... was loaded over HTTPS, but requested an insecure resource...”, pontosan megmondják, melyik fájl a probléma.

Honnan szokott származni: kézzel, http:// előtaggal beírt linkek a cikkeken belül, az SSL előtt feltöltött képek, olyan sablonok vagy bővítmények, amelyek beégetett http:// címeket generálnak, vagy egy külső widget/banner, amely nem támogatja a HTTPS-t.

Hogyan javítsd, lépésről lépésre

A sorrend számít:

• 1. Győződj meg róla, hogy van érvényes SSL-tanúsítványod. Szinte minden komoly tárhely kínál egy ingyeneset (Let's Encrypt). Ellenőrizd, hogy lefedi-e mind a www, mind a www nélküli verziót.
• 2. Kényszerítsd ki az átirányítást HTTP-ről HTTPS-re, hogy mindenki a biztonságos verzión kössön ki.
• 3. Cseréld le a belső http:// címeket https://-re (vagy relatív útvonalakra). WordPress esetén egy ingyenes bővítmény, mint a „Really Simple SSL”, a legtöbb esetet automatikusan kezeli.
• 4. Takarítsd ki a maradék kevert tartalmat az előző lépésben a Console-ból kapott lista alapján.
• 5. Ürítsd a gyorsítótárat (mind az oldalét, mind a böngészőét), és teszteld újra.

Ha egyetlen elgépelt linkről van szó, akár öt perc munka is lehet. Ha egy sablon mindenhová http:// címeket generál, akkor lehet, hogy technikai segítségre van szükség. Mindenesetre ez nem egy „fizess most, vagy elveszíted az oldaladat” vészhelyzet — van időd megérteni, mit javítasz.

Számít a Google és az ügyfelek szempontjából?

Mindkettő szempontjából igen, de kiegyensúlyozottan — dráma nélkül.

A látogatók számára számít a legjobban: a „Nem biztonságos” szó közvetlenül a cím mellett megijeszti az embereket, különösen azokat, akik épp telefonszámot adnának meg vagy rendelést adnának le. Az „elhanyagolt oldal” benyomása valódi érdeklődőkbe kerül.

A Google számára a HTTPS régóta rangsorolási tényező, de csak egy kisebb — nem repít varázsütésre az első helyre, és nem is ejt vissza egyik napról a másikra. Légy szkeptikus mindenkivel szemben, aki „garantált első helyet” ígér, ha SSL-t adsz hozzá. Az SSL alapvető higiénia, nem varázspálca.

Az MPO Web Studiónál olyan oldalakat szállítunk, amelyeken a HTTPS a kezdetektől helyesen van beállítva (tanúsítvány + átirányítás + kevert tartalom nélkül), az egész ország területén távolról dolgozunk, és átláthatóan elmondjuk, mit kell megtenni. Ha „Nem biztonságos” jelzést látsz az oldaladon, és nem vagy biztos benne, hol a probléma, írj nekünk WhatsApp-on — megnézzük, és őszintén megmondjuk, hogy ez egy ötperces javítás-e, vagy több.