Passive/Display Mixed Content: In diesem Fall ist der unverschlüsselte HTTP-Content auf eingekapselte Elemente auf der Site beschränkt, die nicht mit dem Rest der Seite interagieren können – zum Beispiel Bilder oder Videos. Ein Angreifer kann beispielsweise ein über HTTP geladenes Bild blockieren oder ersetzen, den Rest der Seite jedoch nicht ändern.
Active Mixed Content: In diesem Fall werden Elemente oder Abhängigkeiten, die mit der gesamten Webseite interagieren und diese verändern können, über HTTP bereitgestellt. Dazu gehören Abhängigkeiten wie JavaScript-Dateien und API-Anfragen.
Aktive gemischte Inhalte stellen eine schwerwiegendere Bedrohung dar als gemischte passive Inhalte/Anzeigen. Bei einer Kompromittierung ermöglicht es einem Angreifer, eine ganze Webseite zu übernehmen, sensible Benutzereingaben wie Anmeldeinformationen zu sammeln, dem Benutzer eine gefälschte Seite bereitzustellen oder den Benutzer auf die Site eines Angreifers umzuleiten.
Die meisten modernen Webbrowser bieten Warnungen in der Entwicklerkonsole für gemischte Inhalte und blockieren die gefährlicheren Arten von gemischten Inhalten. Jeder Browser hat seine eigenen Regeln, aber im Allgemeinen wird aktiver gemischter Inhalt viel eher blockiert.
Obwohl gemischte passive Inhalte/Display-Inhalte eine geringere Bedrohung darstellen, bieten sie Angreifern dennoch die Möglichkeit, die Privatsphäre zu gefährden und Benutzeraktivitäten zu verfolgen. Da viele Browser einige Formen von passiven gemischten Inhalten zulassen und Benutzern nur Warnungen zu gemischten Inhalten in der Entwicklerkonsole anzeigen, werden viele Benutzer nicht wissen, dass sie gemischten Inhalten ausgesetzt sind.
Benutzer von veralteten Webbrowsern sind besonders anfällig, da diese Browser möglicherweise keine gemischten Inhalte blockieren.