VPN arkasında karma içerik: kaynağı düzeltin, tüneli değil

HTTP üzerinden betik yükleyen bir HTTPS sayfası, iki farklı koruma düzeyiyle iki istek yapar ve kilit yalnızca ilkini tanımlar. Tünel bunu değiştirmez, çünkü taşıyıcıyı korur, kaynağın kendi şemasını değil. Tarayıcı hangi isteğin başarısız olduğunu zaten söylüyor; adres çubuğu yerine konsolu okursanız. Üç kontrol sizi kısmen çalışan bir sayfadan gerçek bir onarıma götürür.

İsteği okuyun, adres çubuğunu değil

HTTPS ile alınan bir belge, bir betiğe, stil sayfasına, yazı tipine veya çerçeveye düz HTTP üzerinden başvurabilir. Bu başvuru ayrı bir istektir ve tarayıcının şikâyet ettiği tam da odur. Ana belgenin koruması ona geri yayılmaz ve iki akışı da taşıyan tünel hiçbir şemayı değiştirmez. Bu yüzden sayfa aynı anda gerçekten güvenli ve gerçekten bozuk olabilir.

Kaynağı yalnızca dâhil edilmiş bir dosya olarak adlandırmak, onun değiştirilmesini zararsız kılmaz.

Güvensiz betik içeriği yolda değiştirilip sonra çalıştırılabiliyorsa, sayfanın davranışını değiştirebilir; bu, kozmetik bir arızadan daha büyük bir sorundur. Görseller yolda değiştirildiğinde daha küçük ama gerçek bir risk taşır. Kilit hiçbir şey hakkında yalan söylemiyor. Sizin sorduğunuzdan daha dar bir soruyu yanıtlıyor.

Hangi kaynakların engellendiğini, hangilerinin yükseltildiğini bilin

Tarayıcılar her kaynak türüne aynı şekilde davranmaz. karma içerik rehberi HTTPS'e yükseltilen istekleri tamamen engellenen isteklerden ayırır; betikler, stil sayfaları ve programatik istekler engellenen tarafta yer alırken görseller ve medya bunun yerine yükseltilebilir veya işaretlenebilir.

Bu fark, kafa karıştırıcı raporları açıklar. Betiği engellenen bir sayfa bir özelliği tamamen kaybeder; görseli yükseltilen bir sayfa ise iyi görünür ve isteğini sessizce değiştirmiştir. Belgelenen kategorilerin istisnaları da vardır; bu yüzden belirli bir türdeki her URL'nin başarıyla yükseltileceğini varsaymayın. Dosya uzantısından akıl yürütmek yerine konsolun belirli istek hakkında ne söylediğini okuyun.

Engellenen bir bileşen, tünelin başarısız olduğunun kanıtı değildir. Tarayıcının işini yaptığının kanıtıdır.

Başvuruyu kaynağında düzeltin

Site sahibi için onarım, güvensiz URL'nin yazıldığı yere aittir: bir şablon, bir stil sayfası, URL'leri birleştiren bir betik veya üçüncü taraf bir bileşen. Görünür sayfa adresini değiştirmek bunların hepsini dokunulmadan bırakır. Kaynakta sunucuyu arayın ve konsolun tesadüfen adlandırdığı tek başvuru yerine her başvuruyu düzeltin.

Ardından kaynağın gerçekten geçerli kimlikle HTTPS üzerinden sunulduğunu doğrulayın; çünkü şema değişikliği orada hiç yayımlanmamış bir hizmeti yaratamaz.

grep -rn "http://assets.example" ./templates
curl -sSI https://assets.example/widget.js | head -n 1

Yönlendirmeleri de izleyin; çünkü HTTPS ile başlayan bir başvuru yine de düz metin bir teslimat yoluna inebilir. Bir bağımlılığın güvenli teslimatı hiç yoksa, geçici bir çözüm göndermek yerine normal değişiklik süreciyle onu kaldırın veya değiştirin. Kullanıcı için tarayıcı korumalarını açık bırakın ve kaynağın URL'sini, türünü ve konsol iletisini site sahibine bildirin. Tek bir sayfa için personele güvensiz içeriğe izin vermelerini söyleyen talimatları asla yaymayın; çünkü o istisna, kendisini doğuran olaydan daha uzun yaşar.

Sayfayı kullanıcıların dokunduğu şekilde yeniden test edin

Yalnızca ilk belgeyi değil, kaynakları isteğe bağlı yükleyen işlemleri de çalıştırın. Sayfalar bir düğmeye basıldıktan sonra ek kod, veri ve indirmeler getirir ve bu istekler çoğu zaman güvensiz olanlardır. Korumayı hâlâ açıkken belirli istekleri ve görünen davranışı doğrulayın. Gevşetilmiş bir tarayıcı profiliyle başlayan bir test, normal bir kullanıcının ne gördüğünü size gösteremez.

Tünelin hâlâ kendi işi var ve o iş, sayfa bütünlüğü değil ağ erişimidir.

Trafik tünelin uç noktasından ayrıldığında, kalan herhangi bir HTTP alımı taşıyıcıdan hiçbir şey kazanmamıştır. Kaynağın yolunu düzeltin ve tarayıcıdaki uygulamayı yerinde tutun. Bir güvensiz bağımlılığın onarımı olarak bir taşıma katmanı daha görmek, bir ekibin doğru çalışan denetimi kapatan bir yardım masası betiğiyle sonuçlanma yoludur.