Halong nilalaman sa likod ng VPN: ayusin ang resource, hindi ang tunnel

Ang pahinang HTTPS na nagkakarga ng mga script sa HTTP ay gumagawa ng dalawang kahilingan na may dalawang magkaibang antas ng proteksyon, at ang kandado ay naglalarawan lamang ng una. Hindi ito binabago ng tunnel, dahil pinoprotektahan nito ang tagapagdala at hindi ang sariling scheme ng resource. Sinasabi na ng browser kung aling kahilingan ang nabigo, kung babasahin mo ang console sa halip na ang address bar. Tatlong pagsusuri ang magdadala sa iyo mula sa kalahating gumaganang pahina tungo sa tunay na pagkukumpuni.

Basahin ang kahilingan, hindi ang address bar

Ang dokumentong nakuha sa HTTPS ay maaaring tumukoy sa isang script, stylesheet, font o frame sa ordinaryong HTTP. Ang reference na iyon ay hiwalay na kahilingan, at iyon ang inirereklamo ng browser. Ang proteksyon ng pangunahing dokumento ay hindi bumabalik papasok doon, at ang tunnel na nagdadala ng dalawang daloy ay hindi binabago ang alinman sa mga scheme. Kaya ang pahina ay maaaring tunay na ligtas at tunay na sira nang sabay.

Ang pagtawag sa resource na isang kasamang file lamang ay hindi ginagawang walang pinsala ang pagpapalit nito.

Kung ang hindi ligtas na nilalaman ng script ay maaaring baguhin habang dinadala at pagkatapos ay patakbuhin, maaari nitong baguhin ang pag-uugali ng pahina, na mas malaking problema kaysa kosmetikong pagkabigo. Ang mga larawan ay may mas maliit ngunit tunay na panganib kapag binago sa daan. Hindi nagsisinungaling ang kandado tungkol sa anuman. Sumasagot ito sa mas makitid na tanong kaysa sa itinanong mo.

Alamin kung aling resource ang hinaharangan at alin ang itinataas

Hindi pantay ang pagtrato ng mga browser sa bawat uri ng resource. ang gabay sa halong nilalaman ay naghihiwalay ng mga kahilingang itinataas sa HTTPS mula sa mga kahilingang ganap na hinaharangan, kung saan ang mga script, stylesheet at programatikong kahilingan ay nasa hinarang na panig, habang ang mga larawan at media ay maaaring itaas o markahan sa halip.

Ipinapaliwanag ng pagkakaibang iyon ang nakakalitong mga ulat. Ang pahinang may hinarang na script ay ganap na nawawalan ng isang tampok, habang ang pahinang may itinaas na larawan ay mukhang maayos at tahimik na binago ang kahilingan nito. May mga eksepsyon din ang mga dokumentadong kategorya, kaya huwag ipagpalagay na ang bawat URL ng isang partikular na uri ay matagumpay na itataas. Basahin ang sinasabi ng console tungkol sa partikular na kahilingan sa halip na maghinuha mula sa extension ng file.

Ang hinarang na widget ay hindi patunay na nabigo ang tunnel. Ito ay patunay na ginawa ng browser ang trabaho nito.

Ayusin ang reference sa pinagmulan nito

Para sa may-ari ng site, ang pagkukumpuni ay kabilang sa lugar kung saan isinulat ang hindi ligtas na URL: isang template, stylesheet, script na nagbubuo ng mga URL, o bahagi ng ikatlong partido. Ang pagbabago ng nakikitang address ng pahina ay iniiwan ang lahat ng iyon na hindi nagalaw. Hanapin sa pinagmulan ang host at ayusin ang bawat reference, hindi lamang ang isa na aksidenteng binanggit ng console.

Pagkatapos ay kumpirmahin na ang resource ay tunay na inihahain sa HTTPS na may wastong pagkakakilanlan, dahil ang pagpapalit ng scheme ay hindi makakalikha ng serbisyong hindi kailanman nailathala doon.

grep -rn "http://assets.example" ./templates
curl -sSI https://assets.example/widget.js | head -n 1

Sundan din ang mga redirect, dahil ang reference na nagsisimula sa HTTPS ay maaari pa ring mapunta sa landas ng paghahatid sa simpleng teksto. Kung ang isang dependency ay talagang walang ligtas na paghahatid, alisin o palitan ito sa karaniwang proseso ng pagbabago sa halip na magpadala ng solusyong pansamantala. Para sa gumagamit, iwanang nakabukas ang mga proteksyon ng browser at iulat sa may-ari ng site ang URL ng resource, ang uri nito at ang mensahe ng console. Huwag kailanman magpakalat ng mga tagubiling nagsasabi sa mga kawani na payagan ang hindi ligtas na nilalaman para sa isang pahina, dahil ang eksepsiyong iyon ay nabubuhay nang mas matagal kaysa sa insidenteng nagdulot nito.

Subukan muli ang pahina sa paraang hinahawakan ito ng mga gumagamit

Sanayin ang mga operasyong nagkakarga ng resource kapag hiniling, hindi lamang ang unang dokumento. Nagdadala ang mga pahina ng karagdagang code, data at mga download pagkatapos pindutin ang isang button, at ang mga kahilingang iyon ay madalas ang hindi ligtas. Kumpirmahin ang partikular na mga kahilingan at ang nakikitang pag-uugali habang nakabukas pa rin ang proteksyon. Ang pagsusuring nagsisimula sa isang lumuwag na profile ng browser ay hindi maipapakita sa iyo kung ano ang nakikita ng karaniwang gumagamit.

May sariling trabaho pa rin ang tunnel, at ang trabahong iyon ay access sa network, hindi integridad ng pahina.

Kapag umalis na ang trapiko sa dulo ng tunnel, wala nang nakuha ang anumang natitirang pagkuha ng HTTP mula sa tagapagdala. Ayusin ang landas ng resource at panatilihin ang pagpapatupad sa browser. Ang ituring ang isa pang layer ng transportasyon bilang pagkukumpuni ng hindi ligtas na dependency ay ang paraan kung paano nauuwi ang isang koponan sa isang script ng help desk na nagpapatay sa kontrol na gumagana nang tama.