Blanda innhald bak ein VPN: reparer ressursen, ikkje tunnelen

Ei HTTPS-side som lastar skript over HTTP, sender to førespurnader med to ulike vernenivå, og hengelåsen skildrar berre den første. Ein tunnel endrar ikkje dette, fordi han vernar transportøren og ikkje det eigne skjemaet til ressursen. Nettlesaren fortel deg allereie kva førespurnad som mislykkast, om du les konsollen i staden for adresselinja. Tre kontrollar tek deg frå ei delvis fungerande side til ein faktisk reparasjon.

Les førespurnaden, ikkje adresselinja

Eit dokument henta over HTTPS kan referere til eit skript, eit stilark, ein skrift eller ei ramme over vanleg HTTP. Den referansen er ein eigen førespurnad, og det er den nettlesaren klagar på. Vernet til hovuddokumentet flyttar seg ikkje tilbake inn i han, og tunnelen som ber begge straumane, endrar ingen av skjemaa. Sida kan difor vere både verkeleg trygg og verkeleg øydelagd samstundes.

Å kalle ressursen berre ei inkludert fil gjer ikkje utskiftinga av han uskadeleg.

Om utrygt skriptinnhald kan endrast undervegs og deretter køyrast, kan det endre korleis sida oppfører seg, noko som er eit større problem enn ein kosmetisk feil. Bilete ber ein mindre, men reell risiko når dei blir endra undervegs. Hengelåsen lyg ikkje om noko. Han svarar på eit snevrare spørsmål enn det du stilte han.

Vit kva ressursar som blir blokkerte, og kva som blir oppgraderte

Nettlesarar handsamar ikkje alle typar ressursar likt. rettleiinga om blanda innhald skil førespurnader som blir oppgraderte til HTTPS frå førespurnader som blir blokkerte heilt, der skript, stilark og programmatiske førespurnader er på den blokkerte sida, medan bilete og medium i staden kan bli oppgraderte eller merkte.

Skilnaden forklarar dei forvirrande rapportane. Ei side med eit blokkert skript mistar ein funksjon heilt, medan ei side med eit oppgradert bilete ser fint ut og stille har endra førespurnaden sin. Dei dokumenterte kategoriane har også unntak, så ikkje gå ut frå at kvar URL av ein gitt type blir oppgradert med suksess. Les kva konsollen seier om den konkrete førespurnaden i staden for å resonnere frå ei filending.

Ein blokkert widget er ikkje bevis på at tunnelen feila. Det er bevis på at nettlesaren gjorde jobben sin.

Reparer referansen ved kjelda

For ein eigar av eit nettstad høyrer reparasjonen heime der den utrygge URL-en vart skriven: ein mal, eit stilark, eit skript som set saman URL-ar, eller ein tredjepartskomponent. Å endre den synlege sideadressa lèt alt dette vere urørt. Søk i kjelda etter verten og reparer kvar referanse, ikkje berre den eine konsollen tilfeldigvis nemnde.

Stadfest deretter at ressursen faktisk blir levert over HTTPS med gyldig identitet, fordi eit skjemabyte kan ikkje trylle fram ei teneste som aldri vart publisert der.

grep -rn "http://assets.example" ./templates
curl -sSI https://assets.example/widget.js | head -n 1

Følg også omdirigeringar, fordi ein referanse som byrjar med HTTPS framleis kan hamne på ein leveringsveg med klartekst. Når ein avhengigheit rett og slett ikkje har trygg levering, fjernar eller erstattar du han gjennom den vanlege endringsprosessen i staden for å sende ein omveg. For ein brukar lèt du vernet i nettlesaren vere på og rapporterer URL-en til ressursen, typen og konsollmeldinga til eigaren av nettstaden. Aldri spre instruksjonar som ber tilsette tillate utrygt innhald for éi side, fordi det unntaket overlever hendinga som utløyste det.

Test sida på nytt slik brukarane rører henne

Øv på operasjonane som lastar ressursar ved behov, ikkje berre det første dokumentet. Sider hentar ekstra kode, data og nedlastingar etter eit knappetrykk, og dei førespurnadane er ofte dei utrygge. Stadfest dei konkrete førespurnadane og den synlege åtferda medan vernet framleis er på. Ein test som byrjar med ein lemka nettlesarprofil, kan ikkje vise deg kva ein vanleg brukar ser.

Tunnelen har framleis sin eigen jobb, og den jobben er nettverkstilgang og ikkje sideintegritet.

Når trafikken forlèt endepunktet til tunnelen, har kvar attverande HTTP-henting ikkje vunne noko frå transportøren. Reparer ressursstien og hald på handhevinga i nettlesaren. Å handsame eitt transportlag til som ein reparasjon av ein utrygg avhengigheit er korleis eit team endar opp med eit helpdesk-skript som slår av kontrollen som fungerte rett.