HTTPS-Mixed-Content-Test
Scannen Sie Ihre HTTPS-Seite auf über HTTP ausgelieferte Ressourcen. Ein einziger HTTP-iframe genügt, um das Schloss zu brechen und das Nutzervertrauen zu untergraben.
Zu scannende URL
Die URL muss HTTPS sein, Mixed Content macht nur auf einer gesicherten Seite Sinn.
Auch entdecken
Alle WerkzeugeTesten Sie Ihre robots.txt gegen 18 User-Agents: Googlebot, Bingbot, GPTBot, ClaudeBot, PerplexityBot, Applebot und weitere KI-Crawler. Pfad × Bot-Matrix.
Prüfen Sie Ihre hreflang-Tags: gültige ISO-Codes, Reziprozität zwischen Sprachversionen, x-default, Konformität mit Googles Empfehlungen.
Prüfen Sie HTTP-Response-Header: x-robots-tag, Cache-Control, HSTS, Link, Vary, Server. SEO- und Sicherheits-Anmerkungen zu relevanten Headern.
Validieren Sie Ihre sitemap.xml: Struktur, URL-Anzahl, lastmod-Ausreißer, Sitemap-Index-Rekursion. Konform zu sitemaps.org und Google.
Häufig gestellte Fragen
Was ist Mixed Content? +
Eine über HTTPS ausgelieferte Seite, die Ressourcen (Bilder, Scripts, iframes, Fonts) über HTTP lädt. Der Browser zeigt ein durchgestrichenes Schloss oder eine "Nicht sicher"-Warnung, sofortiger Vertrauensverlust beim Nutzer. Schlimmer noch, in modernen Chrome werden HTTP-Scripts und iframes automatisch blockiert ("active mixed content"), was die Seite buchstäblich kaputt macht.
Aktiver vs passiver Mixed Content? +
Aktiv = Scripts, iframes, XHR, WebSocket, Ressourcen, die das DOM verändern können. Seit 2020 von Browsern automatisch blockiert. Passiv = Bilder, Videos, Audio, kein Code-Ausführung, lösen aber die "Nicht sicher"-Warnung aus. Chrome upgradet seit Chrome 90 HTTP-Bilder automatisch auf HTTPS, das bleibt aber ein fragiler Fallback.
Wie beheben? +
Drei Optionen. (1) Server-seitig upgraden, URLs im CMS auf https:// oder relative URLs (//beispiel.de/ oder /path) ändern. (2) Content Security Policy, upgrade-insecure-requests hinzufügen, das den Browser zwingt, HTTPS zu versuchen. (3) Falls die Ressource nicht über HTTPS verfügbar ist (selten 2025), auf eigenen Server umziehen oder ersetzen.
Ist dieses Tool vollständig? +
Wir scannen statisches HTML für: img/script/link/iframe/video/audio/embed/object/source/form. Dynamische JS-Importe, Runtime-fetch()-Calls, WebSockets oder von externem Script injizierte Ressourcen verfolgen wir nicht. Für diese Fälle DevTools → Security-Tab oder Konsole öffnen, Chrome meldet allen tatsächlich geladenen Mixed Content. Dieses Tool flaggt offensichtliche Fälle vor einem Deploy.
Wirklich Backlinks kaufen?
Unser Netzwerk-Katalog ist ohne Anmeldung einsehbar. Verlegerpreis sichtbar, ohne Provision, ohne Zwischenhändler.