Mengapa situs WordPress Anda yang sudah menggunakan SSL masih menampilkan peringatan keamanan atau bahkan membuat beberapa elemen tidak tampil?
Jawabannya, hal ini sering disebabkan oleh mixed content, yakni termuatnya aset HTTP pada halaman HTTPS.
Ingin tahu cara menemukan dan mengatasi sumber masalahnya? Ketahui selengkapnya di artikel ini, yuk!
Apa itu Mixed Content?
Mixed content terjadi ketika halaman HTML awalnya dimuat melalui koneksi HTTPS yang aman, tetapi konten lain di halaman tersebut, seperti gambar, video, stylesheet, atau skrip, dimuat melalui koneksi HTTP yang tidak aman.
Ada beberapa penyebabnya, di antaranya:
- Menggunakan URL dengan http:// untuk sumber daya internal (gambar, skrip, dll.) daripada menggunakan URL (/images/logo.png) dengan https://.
- Menyematkan konten pihak ketiga (iklan, widget) yang hanya melalui HTTP.
- Lupa memperbarui tautan saat memigrasikan situs dari HTTP ke HTTPS.
Mengapa Mixed Content Berbahaya dan Perlu Segera Diatasi?
1. Keamanan Terganggu
Koneksi HTTPS bertujuan untuk mengenkripsi dan mengautentikasi data antara browser pengguna dan server web.
Namun, jika beberapa konten dimuat melalui HTTP, bagian-bagian dari halaman tersebut tidak terenkripsi dan dapat diretas.
Dampaknya, seluruh halaman di website ikut tidak aman.
2. Risiko Bagi Pengunjung
Konten HTTP yang tidak aman dapat disadap atau diubah oleh penyerang.
Misalnya, skrip yang dimuat melalui HTTP dapat dimodifikasi untuk mencuri kredensial pengguna, menyuntikkan malware, atau melacak aktivitas pengguna.
Gambar atau konten lainnya juga bisa diganti dengan konten yang menipu atau tidak pantas.
3. Memunculkan Peringatan Browser
Browser sangat waspada terhadap mixed content.
Mereka akan menampilkan peringatan keamanan, seperti ikon gembok rusak atau peringatan “Your Connection is Not Secure”.
Hal ini dapat membingungkan dan mengkhawatirkan pengunjung, serta merusak kepercayaan mereka terhadap situs web Anda.
Cara Mendeteksi Sumber Mixed Content di WordPress
1. Menggunakan Developer Tools
Ini adalah cara paling efektif untuk menemukan sumber masalah secara spesifik di halaman tertentu.
Google Chrome:
- Buka halaman web yang dicurigai sebagai mixed content.
- Klik kanan di mana saja pada halaman dan pilih “Inspect” atau “Inspect Element” (atau tekan F12).
- Klik tab “Console”. Cari pesan error atau peringatan yang menyebutkan “Mixed Content”. Pesan ini biasanya akan memberitahu Anda sumber daya mana (URL gambar, skrip, dll.) yang diblokir atau dimuat secara tidak aman.
- Anda juga bisa memeriksa tab “Network”. Muat ulang halaman (Ctrl+R atau Cmd+R) saat tab Network terbuka. Urutkan berdasarkan kolom “Scheme” atau gunakan filter untuk mencari permintaan dengan http.
Mozilla Firefox:
- Prosesnya mirip. Klik kanan, pilih “Inspect Element” (atau tekan F12).
- Lihat tab “Console” untuk peringatan Mixed Content.
- Tab “Network” juga dapat digunakan untuk melihat semua permintaan sumber daya dan skema protokolnya (HTTP vs HTTPS).
2. Menggunakan Online Scanners
Beberapa tools online dapat memindai halaman web Anda dan melaporkan masalah mixed content, di antaranya:
- Why No Padlock?: Cukup masukkan URL halaman Anda. Tools ini akan memindai masalah SSL dan memberikan daftar URL yang bermasalah.
- JitBit SSL Check: Tools lain yang memindai situs web Anda untuk mencari gambar dan skrip non-SSL.
- Mixed Content Scan (dari FirstSiteGuide): Tools sederhana untuk memeriksa URL tertentu.
3. Menggunakan Plugin WordPress
Beberapa plugin juga bisa membantu mendeteksi atau bahkan secara otomatis mencoba memperbaiki masalah mixed content.
Di antaranya Really Simple Security, SSL Insecure Content Fixer, dan Better Search Replace.
4. Memeriksa View Page Source
Ini cara manual, tapi juga bisa berguna.
- Buka halaman yang bermasalah di browser Anda.
- Klik kanan dan pilih “View Page Source” (atau tekan Ctrl+U / Cmd+Option+U).
- Gunakan fungsi pencarian browser (Ctrl+F atau Cmd+F) dan cari src=”http://” atau href=”http://”. Perhatikan URL internal (domain Anda sendiri) yang masih menggunakan HTTP.
5. Memeriksa Tema dan Plugin
Kadang-kadang, URL HTTP di-hardcode langsung ke dalam file tema atau plugin (.php, .css, .js).
Anda perlu memeriksa file-file ini jika metode lain tidak menemukan sumbernya. Cari saja string http://.
Cara Mengatasi Mixed Content di WordPress
Sebelum memulai:
- BACKUP SITUS ANDA! Buat cadangan lengkap (file dan database) situs WordPress Anda sebelum melakukan perubahan besar.
- Clear Cache: Setelah melakukan perbaikan, bersihkan semua cache untuk melihat perubahan.
1. Gunakan Plugin “Really Simple Security”
Dulunya bernama Really Simple SSL, plugin ini sangat populer untuk membantu redirect ke HTTPS dan memperbaiki masalah mixed content secara otomatis.
Instal dan aktifkan plugin Really Simple Security. Ikuti instruksi setup-nya.
Periksa pengaturan plugin untuk opsi Mixed Content Fixer dan aktifkan jika perlu.
2. Gunakan Plugin SSL Insecure Content Fixer
Plugin ini dirancang khusus untuk mengatasi mixed content.
Caranya:
- Instal dan aktifkan plugin.
- Buka Settings > SSL Insecure Content.
- Mulailah dengan level perbaikan paling sederhana, misalnya “Simple”. Periksa apakah itu menyelesaikan masalah.
- Jika tidak, naikkan levelnya secara bertahap. Misalnya, ke “Content”, “Widgets”, “Capture”, “Capture All”.
3. Perbarui URL di Pengaturan WordPress
Pastikan alamat situs Anda diatur ke HTTPS di pengaturan inti WordPress.
Caranya:
- Buka Settings > General.
- Pastikan “WordPress Address (URL)” dan “Site Address (URL)” keduanya dimulai dengan https://.
- Jika tidak, perbaiki dan simpan perubahan.
4. Cari dan Ganti URL di Database
Mixed content berasal dari URL gambar atau tautan internal yang disisipkan ke dalam postingan, halaman, atau widget sebelum situs menggunakan HTTPS.
Anda perlu memperbarui URL http:// ini menjadi https:// di seluruh database Anda.
Ada dua cara, yakni menggunakan plugin Better Search Replace dan manual.
Cara Menggunakan Plugin:
- Instal dan aktifkan plugin Better Search Replace.
- Backup database Anda terlebih dahulu.
- Buka Tools > Better Search Replace.
- Di kolom “Search for”, masukkan URL lama Anda dengan HTTP: http://domainanda.com (ganti domainanda.com dengan domain Anda).
- Di kolom “Replace with”, masukkan URL baru Anda dengan HTTPS: https://domainanda.com.
- Pilih semua tabel database (atau setidaknya tabel yang relevan seperti wp_posts, wp_postmeta, wp_options, wp_widgets, dll.). Anda bisa memilih semua tabel untuk memastikan semuanya tercover.
- Hapus centang pada “Run as dry run?” HANYA jika Anda yakin dan sudah melakukan backup.
- Jalankan proses Search/Replace.
Cara Manual:
Bisa menggunakan phpMyAdmin atau WP-CLI, tetapi ini lebih berisiko jika tidak dilakukan dengan benar.
Plugin lebih aman untuk sebagian besar pengguna.
5. Periksa Pengaturan Tema dan Widget
Kadang-kadang URL diatur melalui panel opsi tema atau di dalam widget.
Caranya:
- Buka pengaturan tema melalui Appearance > Customize dan pengaturan widget Appearance > Widgets.
- Cari URL yang masih menggunakan http:// dan perbarui secara manual ke https://.
6. Periksa Kode Tema/Plugin
Jika masalah berlanjut, mungkin ada URL http:// yang di-hardcode langsung di dalam file tema atau plugin (file .php, .css, atau .js).
Caranya:
Anda perlu menjelajahi file-file ini dan mencari instance http:// yang merujuk ke sumber daya internal atau eksternal.
Ganti dengan https:// jika sumber daya tersebut tersedia melalui HTTPS.
Kesimpulan
Mixed content adalah masalah serius yang dapat mengancam keamanan dan kepercayaan pengunjung website WordPress Anda.
Setelah memahami penyebabnya dan mengikuti cara mengatasinya, Anda bisa mengatasi masalah ini dan memastikan website berjalan dengan aman menggunakan HTTPS secara permanen.
Ingat, keamanan website adalah prioritas utama.
Pastikan Anda menggunakan sertifikat SSL dari penyedia terpercaya seperti GudangSSL untuk melindungi website dan data pengunjung Anda.
Dengan SSL yang terpasang dengan benar dan bebas dari mixed content, Anda dapat memberikan pengalaman browsing yang aman dan nyaman bagi semua pengguna.
