Ce que vérifie le détecteur de contenu mixte
Il y a contenu mixte quand une page HTTPS charge une ressource en HTTP simple. L'outil récupère votre page, suit les redirections, et liste chaque URL absolue en http:// trouvée dans les attributs src, href, action, formaction, poster, background et data-src du HTML.
Il lit le HTML envoyé par votre serveur. Les ressources ajoutées ensuite par JavaScript, les URL dans les fichiers CSS et les candidats srcset ne sont pas couverts : un résultat vide signifie que le balisage est propre, pas que le navigateur ne fait aucune requête HTTP.
Les résultats qui comptent
Les scripts, feuilles de style et iframes en HTTP sont bloqués par les navigateurs, ce qui casse souvent la page, et un formulaire qui envoie vers une action en http:// affiche un avertissement avant l'envoi. Les images, sons et vidéos sont convertis en HTTPS par Chrome et Firefox, et ne se chargent pas si le serveur n'a pas de version HTTPS.
Les simples liens (une balise a avec un href en http://) sont aussi listés, car ils envoient vos visiteurs vers une page non chiffrée, mais les navigateurs ne les bloquent pas.
Questions fréquentes
Comment corriger le contenu mixte ?
Remplacez chaque URL http:// par https://, après avoir vérifié que la ressource existe en HTTPS. Sur un gros site, la directive Content-Security-Policy upgrade-insecure-requests fait demander chaque sous-ressource en HTTPS le temps de nettoyer le balisage.
Pourquoi le cadenas affiche-t-il encore un avertissement alors que le scan est propre ?
La requête vient sans doute de JavaScript ou d'un fichier CSS, que ce scan ne lit pas. Ouvrez la console du navigateur : elle nomme chaque requête en contenu mixte bloquée ou convertie.
Le contenu mixte nuit-il au référencement ?
Indirectement. Google utilise HTTPS comme signal de classement, et des scripts ou feuilles de style bloqués peuvent casser la page telle qu'elle est rendue et indexée.