混在コンテンツ.

混在コンテンツとは、HTTPS で配信されたページが安全でない http:// URL からスクリプト、スタイルシート、画像、フォント、fetch リクエストを取り込む状態を指します。特にスクリプト・iframe・XHR などのアクティブな混在コンテンツは危険で、経路上の攻撃者が応答を書き換えて安全なコンテキストにコードを注入し、機密性と完全性を破壊できます。現代のブラウザはアクティブな混在コンテンツを既定でブロックし、画像などの受動的なものは自動アップグレードまたはブロックします。対策は、すべてのアセットを HTTPS で配信し、絶対 https:// URL を用い、CSP の upgrade-insecure-requests と HSTS を併用してサイト全体で HTTPS を強制することです。