VPN i lidhur por përmbajtja e përzier ende e bllokuar: çfarë duhet rregulluar
Rendit URL-në e bllokuar sipas atij që e prodhoi, rregullo referencën ose dorëzoja pronarit të hostit, më pas konfirmo rregullimin nga konsola e shfletuesit.
Gjysma e faqes vizatohet, një fletë stili mbetet në gri në panelin Rrjeti, dhe klienti VPN raporton ende një tunel të shëndetshëm. Të tre vëzhgimet janë të vërteta njëkohësisht, sepse shfletuesi gjykoi një kërkesë që bëri faqja dhe tuneli nuk kishte asnjë votë në atë gjykim. Ajo që e mbyll çështjen është një vendim dhe jo një rregullim: rregullo referencën, eskaloje tek ai që zotëron hostin, ose hidh poshtë varësinë. Secila prej këtyre opsioneve ka një provë të lirë, dhe zgjedhja e gabuar harxhon një cikël mbështetjeje.
Pse tuneli nuk mund të mbulojë një nënburim
Përmbajtja e përzier fillon me një dokument HTTPS që kërkon një nënburim përmes HTTP të thjeshtë. Çdo URL gjykohet sipas skemës së vet, prandaj mbrojtja e dokumentit prind nuk shtrihet kurrë te një kërkesë fëmijë. Kriptimi i shtuar nën shfletues ndryshon atë që kalon në tel, jo http:// që kërkoi shënjimi.
Shfletuesit aktualë i ndajnë këto kërkesa në dy grupe dhe i trajtojnë ndryshe. Skriptet, fletët e stilit, iframe-t dhe thirrjet me fetch, XMLHttpRequest ose WebSocket refuzohen menjëherë, pa asnjë përpjekje për përmirësim më parë. Imazhet, audioja dhe videoja rishkruhen në https:// dhe kërkohen përsëri, dhe ngarkimi braktiset kur ai marrje i sigurt dështon. Një URL nënburimi, hosti i së cilës është një adresë IP e pastër, përjashtohet nga përmirësimi, prandaj një imazh HTTP në një host IP mbetet i bllokuar në vend që të rregullohet në heshtje. Ndarja, përfshirë atë përjashtim në anën e përmirësueshme, është dokumentuar në udhëzuesin e Mozilla për përmbajtjen e përzier. Chrome zbaton një refuzim të ngjashëm për shkarkimet e pasigurta të nisura nga një faqe e sigurt, dhe kjo është arsyeja pse një lidhje PDF mund të vdesë ndërsa faqja përreth duket e paprekur.
Rreshti gri është pra prova që kontrolli funksionon, jo prova që tuneli ka rrjedhur tekst të thjeshtë. Trajtoje rreshtin si një gjetje që tregon një referencë të vetme dhe jo të gjithë faqen.
Vendos kujt i përket referenca e pasigurt
Rendit URL-në problematike sipas vendit ku prodhohet përpara se të ndryshosh çdo gjë. Ai përgjigje vendos nëse mund të dorëzosh një rregullim sot, nëse një furnizues duhet të publikojë një, ose nëse varësia duhet të largohet nga faqja. Lexoje në kolonën Initiator në panelin Rrjeti, sepse shënjimi në ekran shpesh montohet në kohë ekzekutimi.
| Nga vjen URL-ja | Kush mund ta rregullojë | Hapi i parë |
|---|---|---|
| E koduar fort në një shabllon ose pjesë që e vendos në qarkullim | Ti | Zëvendësoje me formën https:// dhe pastaj pastro cache-in |
| E injektuar nga një menaxher etiketash ose një paketë furnizuesi | Furnizuesi, me biletën tënde | Dërgo URL-në e saktë, llojin e kërkesës dhe rreshtin e konsolës |
| Shërbyer vetëm në portën 80 pa dëgjues TLS | Pronari i hostit | Kërko TLS, vendos përpara diçka që e kontrollon ti, ose hiq dorë prej saj |
Kur hosti tashmë përgjigjet në 443 dhe vetëm referenca thotë http, rregullimi është lokal: ndrysho referencën, pastro cache-in e faqes dhe konfirmo që rreshti kthehet në https. Një host që dëgjon vetëm në portën 80 nuk mund të sillet në përputhje duke e redaktuar, prandaj burimi zhvendoset, vendoset pas diçkaje që kontrollon ti, ose zhduket. Një URL e injektuar nga një menaxher etiketash shfaqet ende edhe kur shablloni yt është i pastër, dhe ai rast i përket një bilete me URL-në e saktë dhe rreshtin e konsolës të bashkangjitura. T'u thuash stafit të lejojnë përmbajtje të pasigurt nuk është asnjë prej këtyre opsioneve, sepse fik kontrollin për çdo sajt që viziton ai profil shfletuesi.
Rregullo referencën në vend të rregullimit të shfletuesit
Ringarko fluksin që dështon me regjistrin e rrjetit të ruajtur dhe filtro panelin sipas hostit që dyshon. Konsola emërton URL-në dhe direktivën, gjë që zgjidh nëse një kërkesë u refuzua ose u përmirësua përpara se të prekësh një shabllon.
curl -sSI https://cdn.example.org/vendor.js | head -n 1
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' -L https://cdn.example.org/vendor.jsDy kontrolle mbështetëse ia vlen të njihen, dhe asnjëri nuk e zëvendëson rregullimin. Një krye Content-Security-Policy me upgrade-insecure-requests e bën shfletuesin të rishkruajë URL-të e nënburimeve http përpara se të largohen nga faqja, gjë që kap referenca të vjetra që nuk i ke gjetur ende. Kërkesa e rishkruar dështon përsëri kur hosti i destinacionit nuk shërben HTTPS, prandaj kryet ndryshon vetëm cilën URL provon shfletuesi. HSTS zbatohet për çdo host, që do të thotë se një politikë në domenin tënd nuk bën asgjë për një CDN të palës së tretë që nuk e dërgoi kurrë kryet. Pas një ndryshimi shablloni pastro cache-in e faqes dhe kërko në HTML-në e vizatuar emrin e vjetër të hostit, sepse e njëjta URL mund të vijë edhe përmes një pjese, një vargu përkthimi ose një fushe baze të dhënash.
Ndjek edhe ridrejtimet, sepse një zinxhir që nis në https:// mund të aterrojë në një vend http:// dhe shfletuesi gjykon kërcimin e fundit. Forma -L e komandës së dytë më sipër printon atë URL efektive për ty. Nëse kërcimi i fundit është http i pastër, referenca është ende e gabuar edhe pse lidhja që redaktove dukej në rregull.
Konfirmo faqen me konsolën dhe panelin e rrjetit
Ringarko me cache-in e çaktivizuar dhe përshko fluksin përsëri, përfshirë butonat që ngarkojnë përmbajtje sipas kërkesës. Një ngarkim i parë i faqes fsheh widget-e dembelë, pllaka harte dhe skripte luajtësi që shfaqen vetëm pas një klikimi. Konsola nuk duhet të mbajë asnjë zë të përmbajtjes së përzier dhe çdo rresht që ke prekur duhet të tregojë https. Kap konsolën dhe rreshtin e kërkesës përpara se të mbyllësh biletën, sepse ai gjendje është e vështirë të rindërtohet pas vendosjes tjetër.
Kur burimi i përket dikujt tjetër, dërgo katër gjëra: URL-në e saktë, llojin e kërkesës, tekstin e konsolës dhe faqen ku shfaqet. Fshih identifikuesit e sesionit në çdo gjë që ngjit në një biletë. Një raport që thotë vetëm se imazhet janë prishur nuk i jep pronarit asgjë për të kërkuar.
Tuneli vazhdon të bëjë punën e vet ndërsa rregullimi qëndron në referencën që prodhoi kërkesën. Kërko emrin e hostit edhe një herë në shabllon dhe në paketën e furnizuesit pas vendosjes, dhe mbyll çështjen vetëm kur nuk mbetet asnjë zë i përmbajtjes së përzier të bllokuar në konsolë.