VPN verbind, maar gemengde inhoud bly geblokkeer: wat om op te los
Sorteer die geblokkeerde URL volgens wie dit gemaak het, herstel die verwysing of gee dit aan die eienaar van die gasheer, en bevestig die regstelling dan in die blaaierkonsole.
Die helfte van die bladsy wys, een stilblad staan grys in die Netwerk-paneel, en die VPN-kliënt rapporteer steeds ’n gesonde tonnel. Al drie waarnemings is gelyktydig waar, want die blaaier het ’n versoek van die bladsy beoordeel en die tonnel het geen stem in daardie oordeel gehad nie. Wat die saak sluit is ’n besluit en nie ’n instelling nie: herstel die verwysing, eskaleer dit na wie die gasheer besit, of laat vaar die afhanklikheid. Elkeen van daardie opsies het ’n goedkoop toets, en die verkeerde een kies kos ’n ondersteuningsronde.
Waarom die tonnel nie ’n subhulpbron kan dek nie
Gemengde inhoud begin met ’n HTTPS-dokument wat ’n subhulpbron oor gewone HTTP aanvra. Elke URL word op sy eie skema beoordeel, dus die beskerming van die ouerdokument strek nooit na ’n kindversoek nie. Versleuteling wat onder die blaaier bygevoeg word, verander wat oor die lyn gaan, nie die http:// wat die opmaak aangevra het nie.
Huidige blaaiers sorteer hierdie versoeke in twee groepe en behandel hulle verskillend. Skrifte, stilblaaie, iframes en oproepe met fetch, XMLHttpRequest of WebSocket word summier geweier, sonder enige opgraderingspoging eers. Beelde, klank en video word na https:// herskryf en weer aangevra, en die laai word laat vaar wanneer daardie veilige haal misluk. ’n Subhulpbron-URL wie se gasheer ’n kaal IP-adres is, is vrygestel van opgradering, so ’n HTTP-beeld op ’n IP-gasheer bly geblokkeer in plaas daarvan om stil-stil herstel te word. Die verdeling, insluitend daardie vrystelling aan die opgradeerbare kant, word in Mozilla se gids oor gemengde inhoud. Chrome pas ’n soortgelyke weiering toe op onveilige aflaaie wat vanaf ’n veilige bladsy begin, en daarom kan ’n PDF-skakel doodgaan terwyl die omliggende bladsy ongeskonde lyk.
Die grys ry is dus die bewys dat die beheer werk, nie die bewys dat die tonnel gewone teks gelek het nie. Behandel die ry as ’n bevinding wat na een verwysing wys en nie na die hele bladsy nie.
Bepaal wie die onveilige verwysing besit
Sorteer die aanstootlike URL volgens waar dit geskep word voordat jy iets wysig. Daardie antwoord bepaal of jy vandag ’n regstelling kan uitstuur, of ’n verskaffer een moet vrystel, of die afhanklikheid die bladsy moet verlaat. Lees dit uit die Initiator-kolom in die Netwerk-paneel, want die opmaak op die skerm word dikwels tydens looptyd saamgestel.
| Waar die URL vandaan kom | Wie dit kan regmaak | Eerste stap |
|---|---|---|
| Harde kode in ’n sjabloon of gedeeltelike wat jy uitstuur | Jy | Vervang dit met die https://-vorm en maak dan die kas skoon |
| Ingesit deur ’n merkerbestuurder of ’n verskaffersbundel | Die verskaffer, met jou kaartjie | Stuur die presiese URL, versoektip en konsolreël |
| Slegs op poort 80 bedien sonder TLS-ontvanger | Die eienaar van die gasheer | Vra vir TLS, plaas iets van jou voor dit, of laat vaar dit |
Wanneer die gasheer reeds op 443 antwoord en net die verwysing sê http, is die herstel plaaslik: verander die verwysing, leeg die bladsykas en bevestig dat die ry https word. ’n Gasheer wat net op poort 80 luister kan nie deur wysiging voldoen nie, so die hulpbron skuif, kry iets wat jy beheer voor hom, of verdwyn. ’n URL wat deur ’n merkerbestuurder ingesit is, bly verskyn selfs wanneer jou eie sjabloon skoon is, en daardie geval hoort in ’n kaartjie met die presiese URL en konsolreël aangeheg. Om personeel te sê hulle moet onveilige inhoud toelaat is nie een van hierdie opsies nie, want dit skakel die kontrole af vir elke werf wat daardie blaaierprofiel besoek.
Herstel die verwysing in plaas van die blaaierinstelling
Laai die mislukkende vloei weer met die netwerklog behoue en filter die paneel volgens die gasheer wat jy vermoed. Die konsole noem die URL en die richtlijn, wat beslis of ’n versoek geweier of opgegradeer is voordat jy ’n sjabloon aanraak.
curl -sSI https://cdn.example.org/vendor.js | head -n 1
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' -L https://cdn.example.org/vendor.jsTwee ondersteunende beheermaatreëls is die moeite werd om te ken, en nie een vervang die herstel nie. ’n Content-Security-Policy-opskrif met upgrade-insecure-requests laat die blaaier http-subhulpbron-URL's herskryf voordat hulle die bladsy verlaat, wat ou verwysings vang wat jy nog nie gevind het nie. Die herskrewe versoek misluk steeds wanneer die teikengasheer geen HTTPS bedien nie, so die opskrif verander net watter URL die blaaier probeer. HSTS werk per gasheer, wat beteken ’n beleid op jou eie domein doen niks vir ’n derdeparty-CDN wat nooit die opskrif gestuur het nie. Ná ’n sjabloonwysiging leeg jy die bladsykas en soek in die gerenderde HTML na die ou gasheernaam, want dieselfde URL kan ook deur ’n gedeeltelike, ’n vertaalstring of ’n databasisveld inkom.
Volg ook aansturings, want ’n ketting wat by https:// begin kan by ’n http://-ligging beland en die blaaier beoordeel die laaste sprong. Die -L vorm van die tweede opdrag hierbo druk daardie effektiewe URL vir jou. As die laaste sprong gewone http is, is die verwysing steeds verkeerd, selfs al het die skakel wat jy gewysig het goed gelyk.
Bevestig die bladsy met die konsole en die netwerkpaneel
Laai weer met die kas gedeaktiveer en stap die vloei deur, insluitend die knoppies wat inhoud op aanvraag laai. ’n Eerste bladsylaai verberg lui widgets, kaartteëls en speler-skrifte wat eers ná ’n klik verskyn. Die konsole behoort geen gemengde-inhoud-inskrywings te hê nie en elke ry wat jy aangeraak het behoort https te wys. Neem die konsole en die versoekry vas voordat jy die kaartjie sluit, want daardie toestand is moeilik om ná die volgende ontplooiing te herskep.
Wanneer die hulpbron aan iemand anders behoort, stuur vier dinge: die presiese URL, die versoektip, die konsolteks en die bladsy waar dit verskyn. Verwyder sessie-identifiseerders uit alles wat jy in ’n kaartjie plak. ’n Verslag wat net sê beelde is stukkend gee die eienaar niks om voor te soek nie.
Die tonnel doen steeds sy eie werk terwyl die regstelling in die verwysing lê wat die versoek geskep het. Soek ná die ontplooiing weer in die sjabloon en die verskaffersbundel na die gasheernaam, en sluit die saak eers wanneer geen geblokkeerde gemengde-inhoud-inskrywing in die konsole oorbly nie.