您的网站上是否仍有资源通过不安全的 HTTP 协议加载？如果是，您是否知道黑客平均每 39 秒就会发起一次攻击？
如果您的网站上有资源或子资源通过 HTTP 协议加载，那么目前最稳妥的做法是：将它们全部迁移到安全的 HTTPS 页面。这或许能帮助您避免代价高昂的数据泄露事件。
此外，从 2019 年 12 月起，此类页面将不再加载。Google 会默认拦截它们，您的访客将无法再看到这些内容。
请继续阅读，了解其背后的原因以及针对混合内容（Mixed Content）应该如何处理。
HTTPS 混合内容（Mixed Content）是什么？
在本场景下，"混合内容"警告意味着：您的网站上可能存在通过推荐的安全 HTTPS 协议加载的安全页面，但同时又有一些链接内容、脚本和文件是通过不安全的 HTTP 协议运行的。尽管互联网用户有 90% 的时间停留在 HTTPS 页面上，但 iFrame、脚本之类的混合内容仍是困扰大多数网站的问题。默认情况下，浏览器会拦截其中大部分，却会放行视频、图片等其它子资源。
您或许并未察觉，但这些链接内容与脚本对您的受众而言是显著的风险点。根据 Google 的说法，网络犯罪分子总能操纵这些子资源，不仅"劫持"它们，还能"劫持"您的网页。因此，它们既影响用户在您网站上的体验，也削弱了您 HTTPS 网站的安全性。
为遏制这一问题，Google Chrome 将只加载安全的 HTTPS 页面，并同样只在 HTTPS 页面上加载安全资源，同时自动拦截混合内容。
这一拦截混合内容的举措将在 Chrome 79 发布后启动。默认拦截混合内容可能给网站带来不小的损害，为避免这种情况，Google 会自动将所有混合内容升级到安全的 HTTPS 页面。这意味着，如果您将这些子资源存放在安全的 HTTPS 页面上，您的网站仍能正常运行，不会下线。
同样值得注意的是，目前 Google Chrome 仍能加载混合内容与 iFrame，而这一点在 Chrome 79、Chrome 80 以及后续版本中将不再出现。从 2019 年 12 月初开始，将会有四项重大变更陆续落地。
引入以用户为中心的安全过滤机制
为提升您网站的用户界面（UI）体验，Google 不会在 Chrome 79 中彻底拦截混合内容，而是提供一个独特的特性：允许访客自行决定是否加载这些混合内容。
其运作方式如下：默认情况下，Google Chrome 仍会拦截混合内容（包括 iFrame 和混合脚本等）。由于网页用户需要自行选择是否查看或忽略这些混合内容，他们可以点击 HTTPS 页面上通常显示的锁形图标来关闭自动拦截。之后点击"网站设置"，再继续解除 Chrome 已拦截的混合内容资源。
确认切换后，盾牌图标会被切换图标取代，表示混合内容已被拦截。
子资源的自动升级
Chrome 80 会自动将 HTTPS 页面上的混合音频与视频资源升级。不过这里有一个转折：如果这些混合资源无法在 HTTPS 页面上加载，Chrome 会自动拦截它们。借助这一特性，网页用户仍可选择是否查看或忽略您网站上的混合音频与视频内容。
Chrome 80 中混合图片仍会加载
Chrome 80 仍允许混合图片加载。这一特性的唯一缺点是：页面虽然能够成功加载，但在 Google Chrome 地址栏（Omnibox）中会显示"不安全（Not Secure）"警告。如此一来，尽管您的受众能查看网站上的图片，但他们进行购买的可能性却很高——有些人甚至会立即离开，从而导致网站跳出率升高。
混合图片的自动升级
混合图片的自动升级功能要到 2020 年 2 月初、即 Chrome 81 发布后才会提供。因此，在 Chrome 81 中，所有混合图片都会被自动升级到 HTTPS 协议。不过，如果这些图片无法在安全的 HTTPS 页面上加载，Chrome 同样会自动拦截它们。
您绝不会希望拿客户的安全去冒险，也不希望自己的页面被网络不法分子攻破。如果您想避免这些会导致受众流失的破绽或不必要的安全警告，就应当将网站上所有混合内容都迁移到 HTTPS。
我们也必须承认，在网页上发现这些混合内容并非易事。为避免盲目猜测，以下是几个有助于您完成迁移的要点。
检查您的服务提供商是否能提供帮助
建议您联系您的虚拟主机服务商、CMS 或 CDN，询问它们是否有可帮助您调试网页混合内容的工具。如果您使用 WordPress 作为内容管理软件（CMS），有许多插件可用于调试此类问题，例如 Really Simple SSL 这款免费插件就能帮您排查大多数 SSL 问题。如果您的站点已经安装了 SSL（Secure Socket Layer）证书，那么 SSL Insecure Content Fixer 这款 WordPress 插件同样能帮助您调试混合内容问题，它会对站点进行全盘扫描，并在存在需要修复的资源或子资源时向您发出提醒。
使用可靠的混合内容扫描工具
在能够帮助您找出网站混合内容的扫描工具方面，可选项非常多。如果您刚刚起步，预算有限，或许可以先选择一款免费工具。您可以关注一些主流的在线检测工具。
结语
网站的安全始于您自己。遵守恰当的安全措施，不仅能帮助您提升销售，也能让您在所属领域中树立值得信赖的品牌形象。在为这些变更做准备时，有一件事不应被遗忘，那就是 SSL（Secure Socket Layer）证书。如果您还没有，请尽早获取一张，以保护您的站点，避免页面上出现不必要的安全警告。