Змешаны кантэнт за VPN: рамантуйце рэсурс, а не тунель

Старонка HTTPS, якая загружае сцэнарыі праз HTTP, робіць два запыты з двума рознымі ўзроўнямі абароны, і вісячы замок апісвае толькі першы. Тунель гэтага не змяняе, бо ён абараняе носьбіт, а не ўласную схему рэсурсу. Браўзер ужо паведамляе, які запыт не ўдаўся, калі чытаць кансоль, а не адрасны радок. Тры праверкі вядуць ад часткова працаздольнай старонкі да сапраўднага рамонту.

Чытайце запыт, а не адрасны радок

Дакумент, атрыманы праз HTTPS, можа спасылацца на сцэнарый, табліцу стыляў, шрыфт або фрэйм праз звычайны HTTP. Гэтая спасылка — асобны запыт, і менавіта на яго скардзіцца браўзер. Абарона галоўнага дакумента не пераносіцца назад у яго, а тунель, які нясе абодва патокі, не змяняе ніводную схему. Таму старонка можа быць адначасова сапраўды бяспечнай і сапраўды зламанай.

Называнне рэсурсу проста ўключаным файлам не робіць яго замену бясшкоднай.

Калі незабяспечны змест сцэнарыя можна змяніць у шляху і потым выканаць, ён можа змяніць паводзіны старонкі, а гэта большая праблема, чым касметычны збой. Выявы нясуць меншую, але рэальную рызыку, калі іх змяняюць па дарозе. Вісячы замок ні пра што не ілжэ. Ён адказвае на больш вузкае пытанне, чым тое, якое вы задалі.

Ведайце, якія рэсурсы блакуюцца, а якія павышаюцца

Браўзеры не ставяцца да ўсіх тыпаў рэсурсаў аднолькава. рэкамендацыі па змешаным кантэнце аддзяляюць запыты, якія павышаюцца да HTTPS, ад запытаў, якія блакуюцца цалкам: сцэнарыі, табліцы стыляў і праграмныя запыты знаходзяцца на заблакаваным баку, а выявы і медыя могуць замест гэтага павышацца або пазначацца.

Гэтая розніца тлумачыць заблытаныя справаздачы. Старонка з заблакаваным сцэнарыем цалкам губляе функцыю, а старонка з павышанай выявай выглядае добра і ціха змяніла свой запыт. Дакументаваныя катэгорыі таксама маюць выключэнні, таму не мяркуйце, што кожны URL пэўнага тыпу павысіцца паспяхова. Чытайце, што кансоль кажа пра канкрэтны запыт, а не рабіце высновы з пашырэння файла.

Заблакаваны віджэт не з’яўляецца доказам таго, што тунель не спрацаваў. Гэта доказ таго, што браўзер зрабіў сваю працу.

Выпраўце спасылку ў яе крыніцы

Для ўладальніка сайта рамонт належыць таму месцу, дзе быў запісаны незабяспечны URL: шаблон, табліца стыляў, сцэнарый, які збірае URL-адрасы, або кампанент трэцяга боку. Змена бачнага адрасу старонкі пакідае ўсё гэта некранутым. Шукайце ў крыніцы хост і выпраўляйце кожную спасылку, а не адзіную, якую выпадкова назвала кансоль.

Затым пераканайцеся, што рэсурс сапраўды выдаецца праз HTTPS з сапраўднай ідэнтычнасцю, бо змена схемы не можа стварыць сэрвіс, які ніколі там не публікаваўся.

grep -rn "http://assets.example" ./templates
curl -sSI https://assets.example/widget.js | head -n 1

Таксама прытрымлівайцеся перанакіраванняў, бо спасылка, якая пачынаецца з HTTPS, усё яшчэ можа трапіць на шлях дастаўкі адкрытым тэкстам. Калі залежнасць проста не мае бяспечнай дастаўкі, выдаліце або заменіце яе праз звычайны працэс змен, а не выпускайце абыходнае рашэнне. Для карыстальніка пакіньце абарону браўзера ўключанай і паведаміце ўладальніку сайта URL рэсурсу, яго тып і паведамленне кансолі. Ніколі не распаўсюджвайце інструкцыі, якія кажуць супрацоўнікам дазволіць незабяспечны кантэнт для адной старонкі, бо гэтае выключэнне перажывае інцыдэнт, які яго выклікаў.

Пераправерце старонку так, як яе кранаюць карыстальнікі

Праверце аперацыі, якія загружаюць рэсурсы па запыце, а не толькі першы дакумент. Старонкі атрымліваюць дадатковы код, даныя і загрузкі пасля націску кнопкі, і гэтыя запыты часта незабяспечныя. Пацвердзіце канкрэтныя запыты і бачныя паводзіны, пакуль абарона ўключана. Тэст, які пачынаецца з паслабленага профілю браўзера, не можа паказаць вам, што бачыць звычайны карыстальнік.

Тунель па-ранейшаму мае сваю працу, і гэтая праца — сеткавы доступ, а не цэласнасць старонкі.

Пасля таго як трафік пакідае канчатковую кропку тунелю, любы HTTP-запыт, што застаўся, нічога не атрымаў ад носьбіта. Выпраўце шлях рэсурсу і пакіньце прымяненне браўзера на месцы. Стаўленне яшчэ аднаго транспартнага ўзроўню як рамонту незабяспечнай залежнасці — гэта шлях, якім каманда прыходзіць да сцэнарыя службы падтрымкі, што адключае кантроль, які працаваў правільна.