VPN артындағы аралас мазмұн: ресурсты түзетіңіз, туннельді емес

HTTP арқылы скрипттерді жүктейтін HTTPS беті қорғаудың екі түрлі деңгейімен екі сұраныс жасайды, ал құлып тек біріншісін сипаттайды. Туннель мұны өзгертпейді, өйткені ол тасымалдаушыны қорғайды, ресурстың өз схемасын емес. Мекенжай жолағының орнына консольді оқысаңыз, браузер қай сұраныстың сәтсіз болғанын әлдеқашан айтып тұр. Үш тексеру сізді жартылай жұмыс істейтін беттен нақты жөндеуге апарады.

Сұранысты оқыңыз, мекенжай жолағын емес

HTTPS арқылы алынған құжат қарапайым HTTP арқылы скриптке, стиль парағына, қаріпке немесе жақтауға сілтеме жасай алады. Бұл сілтеме жеке сұраныс және браузер дәл соған шағымданады. Негізгі құжаттың қорғанысы оның ішіне кері таралмайды, ал екі ағынды да тасымалдайтын туннель екі схеманың ешқайсысын өзгертпейді. Сондықтан бет бір уақытта шынымен қауіпсіз және шынымен бұзылған болуы мүмкін.

Ресурсты жай ғана енгізілген файл деп атау оны ауыстыруды зиянсыз етпейді.

Егер қауіпсіз емес скрипт мазмұнын жолда өзгертіп, кейін орындау мүмкін болса, ол беттің әрекетін өзгерте алады, бұл көркемдік ақаудан үлкен мәселе. Суреттер жолда өзгертілгенде кішірек, бірақ нақты тәуекел алып жүреді. Құлып ешнәрсе туралы өтірік айтпайды. Ол сіз қойған сұраққа қарағанда тар сұраққа жауап береді.

Қандай ресурстар бұғатталатынын және қайсысы көтерілетінін біліңіз

Браузерлер ресурстың әр түріне бірдей қарамайды. аралас мазмұн туралы нұсқаулық HTTPS-ке көтерілетін сұраныстарды толық бұғатталатын сұраныстардан ажыратады: скрипттер, стиль парақтары және бағдарламалық сұраныстар бұғатталған жақта, ал суреттер мен медиа оның орнына көтерілуі немесе белгіленуі мүмкін.

Бұл айырмашылық шатастыратын есептерді түсіндіреді. Бұғатталған скрипті бар бет функцияны толығымен жоғалтады, ал көтерілген суреті бар бет жақсы көрінеді және сұранысын үнсіз өзгертіп қойған. Құжатталған санаттардың да ерекшеліктері бар, сондықтан белгілі бір түрдегі әр URL сәтті көтеріледі деп ойламаңыз. Файл кеңейтімінен пайымдаудың орнына консольдің нақты сұраныс туралы не айтқанын оқыңыз.

Бұғатталған виджет туннельдің сәтсіздігінің дәлелі емес. Бұл браузердің өз жұмысын атқарғанының дәлелі.

Сілтемені оның көзінде түзетіңіз

Сайт иесі үшін жөндеу қауіпсіз емес URL жазылған жерге тиесілі: үлгі, стиль парағы, URL-дерді жинайтын скрипт немесе үшінші тараптың құрамдасы. Беттің көрінетін мекенжайын өзгерту осының бәрін тиіспеген күйде қалдырады. Көзде хостты іздеп, консоль кездейсоқ атаған бір сілтемемен ғана емес, әр сілтемемен жұмыс істеңіз.

Содан кейін ресурстың шынымен жарамды сәйкестендірумен HTTPS арқылы ұсынылатынын растаңыз, өйткені схеманы ауыстыру онда ешқашан жарияланбаған қызметті жарата алмайды.

grep -rn "http://assets.example" ./templates
curl -sSI https://assets.example/widget.js | head -n 1

Қайта бағыттауларды да бақылаңыз, өйткені HTTPS-пен басталатын сілтеме бәрібір ашық мәтінді жеткізу жолына түсуі мүмкін. Тәуелділіктің қауіпсіз жеткізілімі мүлдем болмаса, айналып өтетін шешім жіберудің орнына оны әдеттегі өзгеріс процесі арқылы жойыңыз немесе ауыстырыңыз. Пайдаланушы үшін браузер қорғаныстарын қосулы қалдырыңыз және сайт иесіне ресурстың URL-ін, оның түрін және консоль хабарламасын хабарлаңыз. Бір бет үшін қызметкерлерге қауіпсіз емес мазмұнға рұқсат беруді айтатын нұсқауларды ешқашан таратпаңыз, өйткені бұл ерекшелік оны тудырған оқиғадан ұзағырақ өмір сүреді.

Бетті пайдаланушылар ұстайтындай қайта тексеріңіз

Тек бірінші құжатты ғана емес, ресурстарды сұраныс бойынша жүктейтін операцияларды да қарыштырыңыз. Беттер түйме басылғаннан кейін қосымша код, деректер және жүктеулер әкеледі, ал бұл сұраныстар көбінесе қауіпсіз емес. Қорғаныс қосулы кезде нақты сұраныстар мен көрінетін әрекетті растаңыз. Босаңсытылған браузер профилімен басталатын тест қарапайым пайдаланушының не көретінін көрсете алмайды.

Туннельдің әлі де өз жұмысы бар, және ол жұмыс желіге қол жеткізу, беттің тұтастығы емес.

Трафик туннельдің соңғы нүктесінен шыққаннан кейін, қалған кез келген HTTP сұранысы тасымалдаушыдан ештеңе ұтпаған. Ресурс жолын түзетіңіз және браузердегі орындауды орнында қалдырыңыз. Қауіпсіз емес тәуелділікті жөндеу ретінде тағы бір көлік қабатын қарастыру — команданың дұрыс жұмыс істеген бақылауды өшіретін қолдау қызметінің скриптіне келу жолы.