VPN verbonnen, awer gemëschte Contenu nach blockéiert: dat muss ee fixen

D'Halschent vun der Säit gëtt gerendert, ee Stylesheet steet gro an der Netzwerk-Panel, an de VPN-Client mellt nach ëmmer en gesonden Tunnel. All dräi Observatioune sinn zur selwechter Zäit wouer, well de Browser eng Ufro beurteelt huet, déi d'Säit gemaach huet, an den Tunnel hat keng Stëmm an deem Uerteel. Wat de Fall schléisst, ass eng Decisioun an net eng Astellung: reparéier d'Referenz, eskaléier se un deen, deen den Host besëtzt, oder lass d'Ofhängegkeet fale. All déi Optiounen huet en einfachen Test, an déi falsch ze wielen kascht en Support-Zyklus.

Firwat den Tunnel eng Ënnerressource net decke kann

Gemëschte Contenu fänkt mat engem HTTPS-Dokument un, wat eng Ënnerressource iwwer einfachen HTTP freet. All URL gëtt no hirem eigenen Schema beurteelt, dofir erstreckt sech de Schutz vum iwwergeuerdnete Dokument ni op eng Ënnerufro. Verschlësselung, déi ënner dem Browser derbäikënnt, ännert wat iwwer d'Leitung geet, net dat http:// wat de Markup gefrot huet.

Hautdesdaags Browseren sortéieren dës Ufroeen a zwou Gruppen an behandelen se ënnerschiddlech. Skripten, Stylesheets, iframes an Opruffer iwwer fetch, XMLHttpRequest oder WebSocket ginn direkt refuséiert, ouni en Upgrade-Versuch virun. Biller, Audio a Video ginn op https:// ëmgeschriwwen an nei ugefrot, an d'Luede gëtt opginn, wann dee séchere Fetche feelt. Eng Ënnerressource-URL, där hire Host eng pure IP-Adress ass, ass vum Upgrade ausgeholl, sou datt en HTTP-Bild op engem IP-Host blockéiert bleift, amplaz stëll reparéiert ze ginn. D'Aufdeelung, inklusiv där Ausnam op der upgradebarer Säit, ass an Mozilla senger Leitfued iwwer gemëschte Contenu. Chrome applizéiert eng ähnlech Refus op onsécher Downloads, déi vun enger sécherer Säit aus ugefaangen ginn, dofir kann en PDF-Link stierwen, während d'Säit ronderëm intakt ausgesäit.

Déi gro Zeil ass also de Beweis, datt d'Kontroll funktionéiert, net de Beweis, datt den Tunnel Klartext duerchgelooss huet. Behandelt d'Zeil als e Fonnt, deen op eng eenzeg Referenz weist an net op déi ganz Säit.

Bestëmmt, wiem déi onsécher Referenz gehéiert

Sortéiert déi ugestouss URL no deem, wou se entsteet, ier dir eppes ännert. Déi Äntwert entscheet, ob dir haut e Fix kënnt ausrollen, ob e Fournisseur een muss erausbréngen, oder ob d'Ofhängegkeet d'Säit muss verloossen. Liest se an der Kolonn Initiator an der Netzwerk-Panel, well de Markup um Bildschierm oft zur Lafzäit zesummegesat gëtt.

Wann den Host schonn op 443 äntwert an nëmmen d'Referenz http seet, ass de Fix lokal: ännert d'Referenz, läscht de Säit-Cache a bestätegt, datt d'Zeil https gëtt. En Host, deen nëmmen op Port 80 lauschtert, kann een net duerch Änneren a Konformitéit bréngen, also wanderd d'Ressource, kritt eppes virun, wat dir kontrolléiert, oder verschwënnt. Eng URL, déi vun engem Tagmanager agebaut gëtt, erschéngt weider, och wann Ären eegenen Template propper ass, an dee Fall gehéiert an en Ticket mat der genauer URL an der Konsolzeil. Dem Personal ze soen, si sollten onsécher Contenu erlaben, ass keng vun dësen Optiounen, well dat d'Kontroll fir all Site ausschalt, déi dee Browserprofil besicht.

Reparéiert d'Referenz amplaz vun der Browserastellung

Laadt de feelende Flou mat erhalenem Netzwerklog nei a filtert de Panel no deem Host, deen dir verdächtegt. D'Konsole nennt d'URL an d'Direktiv, wat kläert, ob eng Ufro refuséiert oder upgrade gouf, ier dir en Template beréiert.

curl -sSI https://cdn.example.org/vendor.js | head -n 1
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' -L https://cdn.example.org/vendor.js

Zwou ënnerstëtzend Kontrollen si wëssenswäert, an keng ersetzt de Fix. En Content-Security-Policy-Header mat upgrade-insecure-requests bréngt de Browser dozou, http-Ënnerressource-URLen ëmzeschreiwen, ier se d'Säit verloossen, wat al Referenzen erfaasst, déi dir nach net fonnt hutt. Déi ëmgeschriwwen Ufro feelt nach ëmmer, wann den Zilhost keen HTTPS ubitt, also ännert den Header just, wéi eng URL de Browser versicht. HSTS gëllt pro Host, dat heescht, eng Politik op Ärer eegener Domain mécht näischt fir en CDN vun engem Drëtten, deen den Header ni gescheckt huet. No enger Template-Ännerung läscht dir de Säit-Cache a sicht an der gerenderter HTML no dem ale Hostnumm, well déi selwecht URL och iwwer en Deel, en Iwwersetzungsstring oder en Datebankfeld kënnt.

Follegt och Ëmleetungen, well eng Kette, déi bei https:// ufänkt, op enger http://-Plaz lande kann, an de Browser beurteelt de leschte Sprong. Déi -L Form vum zweete Kommando uewen dréckt déi effektiv URL fir dir. Wann de leschte Sprong puren http ass, ass d'Referenz nach ëmmer falsch, och wann de Link, deen dir geännert hutt, gutt ausgesinn huet.

Bestätegt d'Säit mat der Konsole an der Netzwerk-Panel

Laadt nei mam deaktivéierte Cache a geet de Flou nach eng Kéier duerch, inklusiv de Knäpp, déi Contenu op Ufro lueden. Eng éischt Säitelued verstoppt liddesch Widgets, Kaartkachelen a Spiller-Skripten, déi eréischt no engem Klick erschéngen. D'Konsole sollt keng Mixed-Content-Andräg droen, an all Zeil, déi dir beréiert hutt, sollt https weisen. Huet d'Konsole an d'Ufrozeil fest, ier dir den Ticket zoumaacht, well deen Zoustand nach dem nächsten Deploy schwéier ze rekonstruéieren ass.

Wann d'Ressource engem aneren gehéiert, schéckt véier Saachen: déi genau URL, den Ufrotyp, den Konsoltext an d'Säit, wou se erschéngt. Schwäerzt Sessiounsidentifikatoren an allem, wat dir an en Ticket paste. E Rapport, deen nëmmen seet, d'Biller wieren futti, gëtt dem Eigner näischt ze sichen.

Den Tunnel mécht weider seng eege Aarbecht, während de Fix an der Referenz läit, déi d'Ufro erstallt huet. Sicht nom Deploy nach eng Kéier am Template an am Fournisseurbundle no dem Hostnumm, a maacht de Fall eréischt zou, wann keen blockéierten Mixed-Content-Andrag méi an der Konsole steet.