VPN-ը միացված է, բայց խառը բովանդակությունը դեռ արգելափակված է՝ ինչ ուղղել

Էջի կեսը մատուցվում է, մեկ ոճաթերթ մնում է մոխրագույն Ցանց վահանակում, և VPN հաճախորդը դեռ հայտնում է առողջ թունել։ Երեք դիտարկումներն էլ միաժամանակ ճշմարիտ են, քանի որ բրաուզերը դատեց էջի արած հարցումը, և թունելը այդ դատավճռում ձայն չուներ։ Գործը փակում է որոշումը, ոչ թե կարգավորումը՝ ուղղել հղումը, այն բարձրացնել հոսթի տիրոջը, կամ հրաժարվել կախվածությունից։ Այս տարբերակներից յուրաքանչյուրն ունի էժան փորձարկում, և սխալ ընտրությունը արժենում է մեկ աջակցության ցիկլ։

Ինչու թունելը չի կարող ծածկել ենթապաշարը

Խառը բովանդակությունը սկսվում է HTTPS փաստաթղթով, որը ենթապաշար է պահանջում սովորական HTTP-ով։ Յուրաքանչյուր URL դատվում է իր սեփական սխեմայով, ուստի ծնող փաստաթղթի պաշտպանությունը երբեք չի տարածվում զավակ հարցման վրա։ Բրաուզերի տակ ավելացված գաղտնագրումը փոխում է այն, ինչ անցնում է մետաղալարով, ոչ թե http://-ը, որը պահանջել է նշումը։

Ժամանակակից բրաուզերները այս հարցումները բաժանում են երկու խմբի և տարբեր կերպ վարվում դրանց հետ։ Սկրիպտները, ոճաթերթերը, iframe-ները և fetch, XMLHttpRequest կամ WebSocket-ով կանչերը մերժվում են անմիջապես, առանց նախնական թարմացման փորձի։ Պատկերները, ձայնը և տեսանյութը վերագրվում են https://-ի և կրկին պահանջվում, և բեռնումը լքվում է, երբ այդ ապահով ստացումը ձախողվում է։ Ենթապաշարի URL-ը, որի հոսթը մերկ IP հասցե է, ազատված է թարմացումից, ուստի IP հոսթի վրա HTTP պատկերը մնում է արգելափակված՝ լուռ ուղղվելու փոխարեն։ Այս բաժանումը, ներառյալ այդ բացառությունը թարմացվող կողմում, փաստաթղթավորված է Mozilla-ի խառը բովանդակության ուղեցույցում։ Chrome-ը նմանատիպ մերժում է կիրառում անվտանգ էջից սկսված ոչ անվտանգ ներբեռնումների նկատմամբ, այդ պատճառով PDF հղումը կարող է մահանալ, մինչ շրջապատող էջը անփոփոխ է թվում։

Մոխրագույն տողը, ուրեմն, ապացույց է, որ հսկողությունը աշխատում է, ոչ թե ապացույց, որ թունելը բաց տեքստ է արտահոսել։ Տողը դիտարկեք որպես գտածո, որը մատնանշում է մեկ հղում, ոչ թե ամբողջ էջը։

Որոշեք, թե ումն է ոչ անվտանգ հղումը

Դասակարգեք խնդրահարույց URL-ը ըստ այն տեղի, որտեղ այն ստեղծվում է, նախքան ինչ-որ բան փոխելը։ Այդ պատասխանը որոշում է՝ կարո՞ղ եք այսօր ուղղում թողարկել, մատակարարը պե՞տք է մեկը թողարկի, թե՞ կախվածությունը պետք է հեռանա էջից։ Կարդացեք այն Ցանց վահանակի Initiator սյունակում, քանի որ էկրանի նշումը հաճախ հավաքվում է կատարման ընթացքում։

Երբ հոսթը արդեն պատասխանում է 443-ում և միայն հղումն է ասում http, ուղղումը տեղական է՝ փոխեք հղումը, մաքրեք էջի քեշը և հաստատեք, որ տողը դառնում է https։ Հոսթը, որը լսում է միայն 80 պորտում, հնարավոր չէ համապատասխանեցնել խմբագրմամբ, ուստի պաշարը տեղափոխվում է, դիմացը դրվում է ձեր վերահսկած ինչ-որ բան, կամ այն անհետանում է։ Պիտակների կառավարիչի ներարկած URL-ը շարունակում է հայտնվել նույնիսկ երբ ձեր սեփական ձևանմուշը մաքուր է, և այդ դեպքը պատկանում է տոմսի՝ ճշգրիտ URL-ով և կոնսոլի տողով կցված։ Անձնակազմին ասել, որ թույլ տան ոչ անվտանգ բովանդակություն, այս տարբերակներից մեկը չէ, քանի որ դա անջատում է ստուգումը յուրաքանչյուր կայքի համար, որ այցելում է այդ բրաուզերի պրոֆիլը։

Ուղղեք հղումը, ոչ թե բրաուզերի կարգավորումը

Վերբեռնեք ձախողված հոսքը՝ պահպանված ցանցային մատյանով, և զտեք վահանակը ձեր կասկածած հոսթով։ Կոնսոլը նշում է URL-ը և հրահանգը, ինչը որոշում է՝ հարցումը մերժվե՞լ է, թե՞ թարմացվել, նախքան ձևանմուշին դիպչելը։

curl -sSI https://cdn.example.org/vendor.js | head -n 1
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' -L https://cdn.example.org/vendor.js

Երկու օժանդակ հսկողություն արժե իմանալ, և ոչ մեկը չի փոխարինում ուղղմանը։ Content-Security-Policy վերնագիր՝ upgrade-insecure-requests ստիպում է բրաուզերին վերագրել http ենթապաշարերի URL-երը նախքան էջից հեռանալը, ինչը բռնում է հին հղումներ, որոնք դեռ չեք գտել։ Վերագրված հարցումը դեռ ձախողվում է, երբ թիրախ հոսթը HTTPS չի մատուցում, ուստի վերնագիրը փոխում է միայն այն, թե որ URL-ն է փորձում բրաուզերը։ HSTS-ը գործում է ըստ հոսթի, այսինքն՝ ձեր սեփական դոմենի քաղաքականությունը ոչինչ չի անում երրորդ կողմի CDN-ի համար, որը երբեք չի ուղարկել վերնագիրը։ Ձևանմուշը փոխելուց հետո մաքրեք էջի քեշը և մատուցված HTML-ում փնտրեք հոսթի հին անունը, քանի որ նույն URL-ը կարող է գալ նաև մասի, թարգմանության տողի կամ տվյալների բազայի դաշտի միջոցով։

Հետևեք նաև վերահղումներին, քանի որ https://-ով սկսվող շղթան կարող է վայրէջք կատարել http:// վայրում, և բրաուզերը դատում է վերջին ցատկը։ Երկրորդ հրամանի -L ձևը վերևում տպում է այդ արդյունավետ URL-ը ձեզ համար։ Եթե վերջին ցատկը մաքուր http է, հղումը դեռ սխալ է, թեկուզ ձեր խմբագրած հղումը լավ էր թվում։

Հաստատեք էջը կոնսոլով և ցանցի վահանակով

Վերբեռնեք անջատված քեշով և անցեք հոսքը կրկին, ներառյալ կոճակները, որոնք բովանդակություն են բեռնում ըստ պահանջի։ Էջի առաջին բեռնումը թաքցնում է ծույլ վիջեթները, քարտեզի սալիկները և նվագարկչի սկրիպտները, որոնք հայտնվում են միայն սեղմումից հետո։ Կոնսոլը չպետք է կրի խառը բովանդակության գրառումներ, և ձեր դիպչած յուրաքանչյուր տող պետք է ցույց տա https։ Գրանցեք կոնսոլը և հարցման տողը նախքան տոմսը փակելը, քանի որ այդ վիճակը դժվար է վերստեղծել հաջորդ տեղակայումից հետո։

Երբ պաշարը պատկանում է ուրիշի, ուղարկեք չորս բան՝ ճշգրիտ URL-ը, հարցման տեսակը, կոնսոլի տեքստը և այն էջը, որտեղ այն հայտնվում է։ Թաքցրեք սեսիայի նույնացուցիչները ամեն ինչում, ինչ կպցնում եք տոմսի մեջ։ Հաշվետվությունը, որ միայն ասում է, թե նկարները կոտրված են, տիրոջը որոնելու ոչինչ չի տալիս։

Թունելը շարունակում է անել իր գործը, մինչ ուղղումը գտնվում է այն հղումում, որն ստեղծել է հարցումը։ Տեղակայումից հետո ևս մեկ անգամ փնտրեք հոսթի անունը ձևանմուշում և մատակարարի փաթեթում, և գործը փակեք միայն այն ժամանակ, երբ կոնսոլում արգելափակված խառը բովանդակության գրառում չի մնացել։