Cynnwys cymysg y tu ôl i VPN: trwsiwch yr adnodd, nid y twmnel

Mae tudalen HTTPS sy’n llwytho sgriptiau dros HTTP yn gwneud dau gais â dau lefel wahanol o amddiffyniad, ac mae’r clo yn disgrifio’r cyntaf yn unig. Nid yw twmnel yn newid hynny, oherwydd mae’n amddiffyn y cludwr yn hytrach na chynllun yr adnodd ei hun. Mae’r porwr eisoes yn dweud wrthych pa gais a fethodd, os darllenwch y consol yn lle’r bar cyfeiriad. Mae tri gwiriad yn mynd â chi o dudalen sy’n gweithio’n rhannol at atgyweiriad gwirioneddol.

Darllenwch y cais, nid y bar cyfeiriad

Gall dogfen a gafwyd dros HTTPS gyfeirio at sgript, dalen arddull, ffont neu ffrâm dros HTTP plaen. Mae’r cyfeiriad hwnnw’n gais ar wahân, a dyma’r un y mae’r porwr yn cwyno amdano. Nid yw amddiffyniad y brif ddogfen yn teithio’n ôl i mewn iddo, ac nid yw’r twmnel sy’n cario’r ddau ffrwd yn newid y naill gynllun na’r llall. Felly gall y dudalen fod yn wirioneddol ddiogel ac yn wirioneddol wedi torri ar yr un pryd.

Nid yw galw’r adnodd yn ffeil gynwysedig yn unig yn gwneud ei ddisodli’n ddiniwed.

Os gellir newid cynnwys sgript anniogel wrth deithio a’i weithredu wedyn, gall newid sut mae’r dudalen yn ymddwyn, sy’n broblem fwy nag aflwydd cosmetig. Mae delweddau’n cario risg lai ond gwirioneddol pan gânt eu newid ar y ffordd. Nid yw’r clo yn dweud celwydd am unrhyw beth. Mae’n ateb cwestiwn culach na’r un a ofynnoch iddo.

Gwybyddwch pa adnoddau a gaiff eu blocio a pha rai a gaiff eu huwchraddio

Nid yw porwyr yn trin pob math o adnodd yn yr un modd. canllawiau cynnwys cymysg yn gwahanu ceisiadau a uwchraddiwyd i HTTPS oddi wrth geisiadau a flociwyd yn llwyr, gyda sgriptiau, dalenni arddull a cheisiadau rhaglennol ar yr ochr flociwyd tra y gellir uwchraddio neu nodi delweddau a chyfryngau yn lle hynny.

Mae’r gwahaniaeth hwnnw’n esbonio’r adroddiadau dryslyd. Mae tudalen â sgript wedi’i blocio yn colli nodwedd yn gyfan gwbl, tra mae tudalen â delwedd uwchraddiwyd yn edrych yn iawn ac wedi newid ei chais yn dawel. Mae gan y categorïau a ddogfennwyd eithriadau hefyd, felly peidiwch â thybio y bydd pob URL o fath penodol yn uwchraddio’n llwyddiannus. Darllenwch beth mae’r consol yn ei ddweud am y cais penodol yn hytrach na rhesymu o atodiad ffeil.

Nid yw widget wedi’i flocio yn dystiolaeth bod y twmnel wedi methu. Mae’n dystiolaeth bod y porwr wedi gwneud ei waith.

Trwsiwch y cyfeiriad yn ei ffynhonnell

I berchnogion safle, mae’r atgyweiriad yn perthyn i’r lle y cafodd yr URL anniogel ei ysgrifennu: templed, dalen arddull, sgript sy’n cydosod URLau, neu gydran trydydd parti. Mae newid cyfeiriad gweladwy’r dudalen yn gadael y rhain i gyd heb eu cyffwrdd. Chwiliwch y ffynhonnell am y gwesteiwr a thrwsiwch bob cyfeiriad yn hytrach na’r un a enwyd gan y consol yn ddamweiniol.

Yna cadarnhewch fod yr adnodd yn cael ei weini’n wirioneddol dros HTTPS gyda hunaniaeth ddilys, oherwydd ni all cyfnewid cynllun greu gwasanaeth na chafodd ei gyhoeddi yno erioed.

grep -rn "http://assets.example" ./templates
curl -sSI https://assets.example/widget.js | head -n 1

Dilynwch ailgyfeiriadau hefyd, oherwydd gall cyfeiriad sy’n dechrau ag HTTPS ddod o hyd i lwybr cyflenwi testun plaen o hyd. Lle nad oes gan ddibyniaeth unrhyw gyflenwi diogel ar gael o gwbl, dilëwch neu disodliwch hi drwy’r broses newid arferol yn lle cludo gwaith o amgylch. I ddefnyddiwr, gadewch amddiffyniadau’r porwr yn weithredol a nodwch URL yr adnodd, ei fath a neges y consol i berchnogion y safle. Peidiwch byth â lledaenu cyfarwyddiadau sy’n dweud wrth staff am ganiatáu cynnwys anniogel ar gyfer un dudalen, oherwydd mae’r eithriad hwnnw’n goroesi’r digwyddiad a’i sbardunodd.

Ailbrofwch y dudalen fel y mae defnyddwyr yn ei chyffwrdd

Ymarferwch y gweithrediadau sy’n llwytho adnoddau yn ôl y galw, nid y ddogfen gyntaf yn unig. Mae tudalennau’n nôl cod, data a lawrlwythiadau ychwanegol ar ôl pwyso botwm, a’r ceisiadau hynny’n aml yw’r rhai anniogel. Cadarnhewch y ceisiadau penodol a’r ymddygiad gweladwy gyda’r amddiffyniad yn dal i fod ymlaen. Ni all prawf sy’n dechrau â phroffil porwr llac ddangos i chi beth mae defnyddiwr arferol yn ei weld.

Mae gan y twmnel ei waith ei hun o hyd, a’r gwaith hwnnw yw mynediad rhwydwaith yn hytrach nag uniondeb y dudalen.

Unwaith y bydd traffig yn gadael pen y twmnel, nid yw unrhyw gais HTTP sy’n weddill wedi ennill dim gan y cludwr. Trwsiwch lwybr yr adnodd a chadwch orfodiad y porwr yn ei le. Trin un haen gludo arall fel atgyweiriad i ddibyniaeth anniogel yw sut y mae tîm yn gorffen gyda sgript desg gymorth sy’n analluogi’r rheolaeth a oedd yn gweithio’n gywir.