Miksita enhavo malantaŭ VPN: riparu la rimedon, ne la tunelon

HTTPS-paĝo, kiu ŝarĝas skriptojn per HTTP, faras du petojn kun du malsamaj niveloj de protekto, kaj la seruro priskribas nur la unuan. Tunelo ne ŝanĝas tion, ĉar ĝi protektas la portanto, ne la propran skemon de la rimedo. La retumilo jam diras al vi, kiu peto malsukcesis, se vi legas la konzolon anstataŭ la adresbreton. Tri kontroloj kondukas vin de duone funkcianta paĝo al vera riparo.

Legu la peton, ne la adresbreton

Dokumento akirita per HTTPS povas referenci skripton, stilfolion, tiparon aŭ kadron per ordinara HTTP. Tiu referenco estas aparta peto, kaj ĝi estas tiu, pri kiu la retumilo plendas. La protekto de la ĉefa dokumento ne vojaĝas returnen en ĝin, kaj la tunelo, kiu portas ambaŭ fluojn, ŝanĝas neniun skemon. La paĝo povas do samtempe esti vere sekura kaj vere rompita.

Nomi la rimedon simple inkludita dosiero ne igas ĝian anstataŭigon sendanĝera.

Se malsekura skripta enhavo povas esti ŝanĝita survoje kaj poste plenumita, ĝi povas ŝanĝi la konduton de la paĝo, kio estas pli granda problemo ol kosmetika fiasko. Bildoj portas pli malgrandan sed realan riskon, kiam ili estas modifitaj survoje. La seruro ne mensogas pri io ajn. Ĝi respondas pli mallarĝan demandon ol tiu, kiun vi faris al ĝi.

Sciu, kiuj rimedoj estas blokataj kaj kiuj estas altigataj

Retumiloj ne traktas ĉiun specon de rimedo egale. la gvidlinioj pri miksita enhavo apartigas petojn, kiuj estas altigataj al HTTPS, de petoj, kiuj estas tute blokataj, kun skriptoj, stilfolioj kaj programaj petoj sur la blokata flanko, dum bildoj kaj amaskomunikiloj povas anstataŭe esti altigataj aŭ markataj.

Tiu diferenco klarigas la konfuzajn raportojn. Paĝo kun blokata skripto tute perdas funkcion, dum paĝo kun altigata bildo aspektas bone kaj silente ŝanĝis sian peton. La dokumentitaj kategorioj ankaŭ havas esceptojn, do ne supozu, ke ĉiu URL de difinita speco sukcese altiĝos. Legu, kion la konzolo diras pri la konkreta peto, anstataŭ rezoni el dosiera finaĵo.

Blokata fenestraĵo ne estas pruvo, ke la tunelo malsukcesis. Ĝi estas pruvo, ke la retumilo faris sian laboron.

Riparu la referencon ĉe ĝia fonto

Por posedanto de retejo, la riparo apartenas tien, kie la malsekura URL estis skribita: ŝablono, stilfolio, skripto, kiu kunmetas URL-ojn, aŭ triaparta komponanto. Ŝanĝi la videblan adreson de la paĝo lasas ĉion tion netuŝita. Serĉu la fonton por la gastiganto kaj riparu ĉiun referencon, ne nur la solan, kiun la konzolo hazarde nomis.

Poste konfirmu, ke la rimedo vere estas servata per HTTPS kun valida identeco, ĉar ŝanĝo de skemo ne povas elvoki servon, kiu neniam estis publikigita tie.

grep -rn "http://assets.example" ./templates
curl -sSI https://assets.example/widget.js | head -n 1

Sekvu ankaŭ alidirektojn, ĉar referenco, kiu komenciĝas per HTTPS, ankoraŭ povas surteriĝi sur klarteksta livera vojo. Kie dependaĵo simple ne havas sekuran liveron disponeblan, forigu aŭ anstataŭigu ĝin per la normala ŝanĝa procezo anstataŭ sendi provizoran solvon. Por uzanto, lasu la protektojn de la retumilo eblaj kaj raportu la URL de la rimedo, ĝian specon kaj la konzolan mesaĝon al la posedanto de la retejo. Neniam disvastigu instrukciojn, kiuj diras al la personaro permesi malsekuran enhavon por unu paĝo, ĉar tiu escepto postvivas la okazaĵon, kiu ĝin kaŭzis.

Retestu la paĝon tiel, kiel uzantoj tuŝas ĝin

Ekzercu la operaciojn, kiuj ŝarĝas rimedojn laŭpete, ne nur la unuan dokumenton. Paĝoj alportas plian kodon, datumojn kaj elŝutojn post butonpremo, kaj tiuj petoj ofte estas la malsekuraj. Konfirmu la konkretajn petojn kaj la videblan konduton kun la protekto ankoraŭ ebla. Testo, kiu komenciĝas per malstreĉita retumila profilo, ne povas montri al vi, kion vidas normala uzanto.

La tunelo ankoraŭ havas sian propran taskon, kaj tiu tasko estas reta aliro, ne la integreco de la paĝo.

Post kiam la trafiko forlasas la finan punkton de la tunelo, ajna restanta HTTP-peto gajnis nenion de la portanto. Riparu la rimedan vojon kaj konservu la devigon en la retumilo. Trakti ankoraŭ unu transportan tavolon kiel riparon de malsekura dependaĵo estas kiel teamo finiĝas kun helpdeska skripto, kiu malŝaltas la regadon, kiu funkciis ĝuste.