# Zmiešaný obsah (mixed content)

> Zmiešaný obsah sú zdroje, napríklad obrázky alebo skripty, ktoré HTTPS stránka načítava cez nešifrované HTTP. Prehliadače ich blokujú alebo označia.

- **Číslo kontroly:** SEC8
- **Oblasť:** [Bezpečnosť](https://be1st.ai/sk/glossary/security)
- **Nástroj:** [SEO + Bezpečnosť + Výkon](https://be1st.ai/sk/tools/ssp-audit)
- **Stránka:** https://be1st.ai/sk/glossary/security/mixed-content

## Prečo na tom záleží

Aj keď je hlavná stránka na HTTPS, HTTP zdroje môže útočník v sieti zachytiť a zmeniť. Škodlivý skript načítaný cez HTTP na HTTPS stránke má plný prístup k DOM a cookies. Prehliadače aktívny mixed content (skripty, iframe) blokujú, pasívny (obrázky) označujú varovaním.

## V praxi

E-shop na HTTPS načíta produktové obrázky z http://cdn.example.com/product.jpg. Chrome zobrazí v konzole varovanie 'Mixed Content' a ikona zámku zmizne. Po zmene na https://cdn.example.com/product.jpg je stránka plne zabezpečená a zámok sa vráti.

## Ako to be1st kontroluje

Kontrola, či HTTPS stránka neobsahuje zdroje načítané cez nešifrovaný HTTP protokol (obrázky, skripty, štýly, fonty). Takýto obsah sa nazýva 'mixed content' a narúša bezpečnosť celej stránky.

[SEO + Bezpečnosť + Výkon](https://be1st.ai/sk/tools/ssp-audit), záložka Bezpečnosť.

Každá kontrola skončí ako: V poriadku, Varovanie, Chyba.

## Zdroje

- [Mixed content](https://developer.mozilla.org/en-US/docs/Web/Security/Defenses/Mixed_content) (MDN)
- [Content Security Policy guide](https://developer.mozilla.org/en-US/docs/Web/HTTP/Guides/CSP) (MDN)

## Súvisiace pojmy

- [HTTPS (bezpečnosť)](https://be1st.ai/sk/glossary/security/https): HTTPS je HTTP šifrované cez TLS. Heslá, formuláre a cookies tak zostanú na ceste medzi návštevníkom a serverom súkromné.
- [Bezpečnostné varovania (security warnings)](https://be1st.ai/sk/glossary/security/security-warnings): Bezpečnostné varovania sú správy, ktoré prehliadač zapíše do konzoly, keď na stránke nájde bezpečnostný problém, napríklad zablokovaný zdroj alebo chybné pravidlo.
- [Nezabezpečené cookies (insecure cookies)](https://be1st.ai/sk/glossary/security/insecure-cookies): Nezabezpečená cookie je cookie bez atribútu Secure, HttpOnly alebo SameSite, takže ju môže iný web ukradnúť alebo zneužiť.
- [Zastarané API (deprecated APIs)](https://be1st.ai/sk/glossary/security/deprecated-apis): Zastarané API sú funkcie prehliadača, ktoré sa postupne rušia. Kód, ktorý ich stále používa, môže prestať fungovať, keď ich prehliadače odstránia.
- [Strict-Transport-Security (HSTS)](https://be1st.ai/sk/glossary/security/strict-transport-security-hsts): Strict-Transport-Security (HSTS) je HTTP hlavička, ktorá prehliadaču prikáže určitý čas používať web len cez HTTPS, aj keď niekto napíše alebo odkáže http://.
- [Content-Security-Policy (CSP)](https://be1st.ai/sk/glossary/security/content-security-policy-csp): Content-Security-Policy (CSP) je HTTP hlavička so zoznamom zdrojov, z ktorých smie stránka načítať skripty, štýly, obrázky a rámce. Je hlavnou obranou proti XSS.