Проверка смешанного контента

Активный смешанный контент — скрипты, стили, iframe, object и fetch/XHR — отклоняется начисто во всех современных браузерах: ресурс просто не загружается. Пассивный контент (изображения, видео, аудио, иконки) сейчас автоапгрейдится до https://, когда возможно, а иначе показывается с предупреждениями; Chrome собирается блокировать и его. Отчёт разделяет эти два счётчика — видно, что ломается сегодня, а что сломается завтра.

Для самого адреса страницы — да: проверка следует редиректам и судит по итоговой схеме. Но сканируется разметка именно итоговой страницы — 301 на HTTPS не чинит тег script, в котором по-прежнему http://. Вердикт отражает состояние страницы, которую получают пользователи.

Замените адреса ресурсов на https:// (поддерживает практически каждый CDN и файловый хост) или уберите схему совсем (//example.com/lib.js), чтобы наследовалась схема самой страницы, — первый вариант explicit-нее. Content-Security-Policy с upgrade-insecure-requests выигрывает время, апгрейдя адреса в браузере, но это пластырь: чините URL в источнике, а CSP держите как страховку. Примеры в деталях строки — готовый список правок.

Считаются только ссылки на уровне разметки (атрибуты src/href и подобные): именно их браузер грузит напрямую, и именно они определяют mixed content. URL, собираемые JavaScript динамически, статической проверке не видны — прогоните страницу с фильтром «mixed» в консоли браузера.