Resolver avisos de conteúdo misto
O certificado está bom, a página carrega em HTTPS e o cadeado continua a não aparecer. Isso é conteúdo misto — eis como o encontrar e corrigir.
Conteúdo misto significa que uma página servida por https:// está a carregar algo por http:// — uma imagem, um script, uma folha de estilos, um tipo de letra ou um iframe. O navegador recusa-se a considerar a página totalmente segura e os navegadores modernos bloqueiam mesmo scripts e folhas de estilo inseguros, razão pela qual a página também pode ficar com o aspeto estragado.
Encontrar o que está inseguro
- Abra a página no navegador.
- Abra as ferramentas de programador (normalmente F12, ou botão direito → Inspecionar).
- Veja o separador Console. Os avisos de conteúdo misto indicam o URL exato carregado de forma insegura.
- O separador Rede mostra o mesmo: ordene pelo URL do pedido e procure tudo o que comece por
http://.
Anote os URL problemáticos antes de alterar seja o que for — a correção depende da origem deles.
Corrigir na origem
- Ficheiros seus no mesmo site: mude
http://oseudominio.com/imagem.jpgpara/imagem.jpg. Um caminho relativo à raiz segue sempre o protocolo da página, pelo que nunca mais fica desatualizado. - Ficheiros noutro site que controla: mude
http://parahttps://. Confirme primeiro que o outro site serve mesmo esse ficheiro por HTTPS, caso contrário simplesmente não carregará. - Integrações de terceiros (analítica, anúncios, tipos de letra, mapas, widgets de chat): use o código HTTPS atual do fornecedor. Tudo o que realmente não puder ser servido por HTTPS tem de ser substituído — não há forma segura de o manter.
- Ligações fixas em temas e CSS: procure
http://nos ficheiros do tema e nas folhas de estilo e corrija os que apontam para recursos.
No caso do WordPress
- Vá a Definições → Geral e confirme que o Endereço do WordPress e o Endereço do site começam por
https://. - Publicações antigas e conteúdo de construtores de páginas contêm muitas vezes URL
http://gravados na base de dados. Faça primeiro uma cópia de segurança e depois use uma ferramenta de pesquisa e substituição que compreenda dados serializados — uma substituição SQL simples corrompe campos serializados. - Limpe depois qualquer camada de cache (plugin de cache e o navegador), ou continuará a ver o código antigo.
Terminar o trabalho
No Plesk, abra as definições de Hosting do domínio e ative Redirect from HTTP to HTTPS, para que ninguém chegue sequer à versão insegura da página.
O aviso continua?
Abra um ticket na secção Suporte do seu painel e cole o aviso exato da consola, incluindo o URL inseguro. Não diga apenas “falta o cadeado” — é o URL que nos diz onde procurar.