VPN tengt en blandað efni er enn blokkað: þetta á að laga
Raðaðu hinu blokkaða vefslóð eftir því hver bjó hana til, lagaðu tilvísunina eða sendu hana til eiganda hýsingarinnar, og staðfestu svo lagfæringuna í vafrakonsólnum.
Helmingur síðunnar birtist, eitt stílblað stendur grátt í netkerfisglugganum, og VPN-biðlarinn segir enn frá heilbrigðum göngum. Allar þrjár athuganirnar eru sannar á sama tíma, því vafrinn dæmdi beiðni sem síðan sendi og göngin höfðu ekkert að segja í þeim dómni. Það sem lýkur málinu er ákvörðun en ekki stilling: lagaðu tilvísunina, ýttu henni til þess sem á hýsinguna, eða slepptu háðinu. Sérhver þessara valkosta hefur ódýrt próf, og að velja þann ranga kostar stuðningslotu.
Hvers vegna göngin geta ekki náð yfir aukauðlind
Blandað efni hefst með HTTPS-skjali sem biður um aukauðlind yfir venjulegt HTTP. Sérhver vefslóð er dæmd eftir eigin skema, svo vernd foreldraskjalsins nær aldrei til undirbeiðni. Dulkóðun sem bætt er við fyrir neðan vafrann breytir því sem fer um línuna, ekki http:// sem merkjamálið bað um.
Nútímavafrar raða þessum beiðnum í tvo hópa og meðhöndla þá ólíkt. Skriftur, stílblöð, iframes og köll með fetch, XMLHttpRequest eða WebSocket eru hafnað beint, án uppfærslutilraunar fyrst. Myndir, hljóð og myndband eru endurskrifuð í https:// og beðin aftur, og hleðslunni er hætt þegar sú örugga sækja mistekst. Vefslóð aukauðlindar þar sem hýsingin er bert IP-tala er undanþegin uppfærslu, svo HTTP-mynd á IP-hýsingu helst blokkuð í stað þess að vera hljóðlega löguð. Skiptingin, þar á meðal sú undanþága á uppfæranlegu hliðinni, er skjalfest í leiðbeiningum Mozilla um blandað efni. Chrome beitir svipaðri synjun á óöruggar niðurhalanir sem byrjaðar eru af öruggri síðu, sem er ástæðan fyrir því að PDF-hlekkur getur dáið á meðan síðan umhverfis virðist heil.
Gráa röðin er því sönnun þess að stýringin virki, ekki sönnun þess að göngin hafi lekið ódulkóðuðum texta. Líttu á röðina sem niðurstöðu sem bendir á eina tilvísun en ekki alla síðuna.
Ákvarða hver á óöruggu tilvísunina
Raðaðu hinni umdeildu vefslóð eftir því hvar hún verður til áður en þú breytir nokkru. Það svar ræður því hvort þú getur sent lagfæringu í dag, hvort seljandi þurfi að gefa eina út, eða hvort háðið þurfi að yfirgefa síðuna. Lestu það í dálkinum Initiator í netkerfisglugganum, því merkjamálið á skjánum er oft sett saman við keyrslu.
| Hvaðan vefslóðin kemur | Hver getur lagað hana | Fyrsta skref |
|---|---|---|
| Harðkóðuð í sniðmáti eða hluta sem þú sendir út | Þú | Skiptu henni út fyrir https://-formið og hreinsaðu svo skyndiminnið |
| Innsprautuð af merkjastjóra eða seljandabunka | Seljandinn, með miðanum þínum | Sendu nákvæmu vefslóðina, beiðnigerðina og konsólulínuna |
| Aðeins boðið á porti 80 án TLS-hlustara | Eigandi hýsingarinnar | Biddu um TLS, settu eitthvað þitt fyrir framan, eða slepptu því |
Þegar hýsingin svarar þegar á 443 og aðeins tilvísunin segir http er lagfæringin staðbundin: breyttu tilvísuninni, hreinsaðu síðuskyndiminnið og staðfestu að röðin verði https. Ekki er hægt að breyta hýsingu sem hlustar aðeins á porti 80 í samræmi, svo auðlindin flyst, fær eitthvað þitt fyrir framan sig, eða hverfur. Vefslóð sem merkjastjóri sprautar inn birtist áfram, jafnvel þótt eigið sniðmát þitt sé hreint, og það tilfelli á heima á miða með nákvæmu vefslóðinni og konsólulínunni viðfestri. Að segja starfsfólki að leyfa óöruggt efni er ekki einn af þessum valkostum, því það slekkur á eftirlitinu fyrir hvern vef sem sá vafraprófíll heimsækir.
Lagaðu tilvísunina í stað vafrastillingarinnar
Hladdu misheppnuðu ferli aftur með netkerfisskrána varðveitta og síaðu gluggann eftir hýsingunni sem þú grunar. Konsóllinn nefnir vefslóðina og tilskipunina, sem sker úr um hvort beiðni var hafnað eða uppfærð áður en þú snertir sniðmát.
curl -sSI https://cdn.example.org/vendor.js | head -n 1
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' -L https://cdn.example.org/vendor.jsTvær stoðstýringar eru þess virði að þekkja, og hvorug þeirra kemur í stað lagfæringarinnar. Content-Security-Policy-haus með upgrade-insecure-requests lætur vafrann endurskrifa http-vefslóðir aukauðlinda áður en þær yfirgefa síðuna, sem grípur gamlar tilvísanir sem þú hefur ekki fundið enn. Endurskrifuð beiðni mistekst samt þegar markhýsingin býður ekki HTTPS, svo hausinn breytir aðeins hvaða vefslóð vafrinn reynir. HSTS virkar fyrir hverja hýsingu, sem þýðir að stefna á þínu eigin léni gerir ekkert fyrir CDN frá þriðja aðila sem sendi hausinn aldrei. Eftir sniðmátsbreytingu hreinsar þú síðuskyndiminnið og leitar í birtu HTML-inu að gamla hýsingarheitinu, því sama vefslóðin getur líka komið í gegnum hluta, þýðingarstreng eða gagnagrunnsreit.
Fylgdu einnig áframsendingum, því keðja sem byrjar á https:// getur lent á http://-stað og vafrinn dæmir síðasta stökkið. Sá -L formi af seinni skipuninni hér að ofan prentar virku vefslóðina fyrir þig. Ef síðasta stökkið er bert http er tilvísunin enn röng, þótt hlekkurinn sem þú breyttir hafi litið vel út.
Staðfestu síðuna með konsólnum og netkerfisglugganum
Hladdu aftur með skyndiminnið slökkt og farðu aftur í gegnum ferlið, þar á meðal hnappana sem hlaða efni eftir þörfum. Fyrsta síðuhleðsla felur lata græjur, kortflísar og spilaraskriftur sem birtast aðeins eftir smelli. Konsóllinn ætti ekki að bera neinar færslur um blandað efni og hver röð sem þú snertir ætti að sýna https. Taktu upp konsólinn og beiðniröðina áður en þú lokar miðanum, því það ástand er erfitt að endurgera eftir næstu útgáfu.
Þegar auðlindin tilheyrir einhverjum öðrum skaltu senda fjóra hluti: nákvæmu vefslóðina, beiðnigerðina, konsólutextann og síðuna þar sem hún birtist. Hyljið lotuauðkenni í öllu sem þú límir á miða. Skýrsla sem segir aðeins að myndir séu brotnar gefur eigandanum ekkert að leita að.
Göngin sinna sínu eigin starfi áfram meðan lagfæringin liggur í tilvísuninni sem olli beiðninni. Leitaðu í sniðmátinu og seljandabunkanum að hýsingarheitinu einu sinni til viðbótar eftir útgáfuna, og lokaðu málinu aðeins þegar engin blokkuð færsla um blandað efni er eftir í konsólnum.