Kaip pašalinti „mišraus turinio“ įspėjimus

Jūsų svetainė kraunasi per HTTPS, bet spynelės nėra arba konsolė pilna įspėjimų. Įprasta priežastis yra mišrus turinys: saugus puslapis įkelia dalį išteklių per nesaugų http://. Štai kodėl tai sugadina spynelę ir kaip tai galutinai pašalinti.

Kodėl vienas HTTP išteklius sugadina spynelę

Spynelė yra pažadas: viskas šiame puslapyje atkeliavo saugiai. Vos vienam ištekliui pasikrovus per HTTP, tas pažadas sulaužomas — užpuolikas tinkle galėtų suklastoti būtent tą vieną failą. Užuot rodžiusi ne visiškai teisingą spynelę, naršyklė pažemina indikatorių arba visiškai blokuoja išteklių. Todėl net teisingas SSL/TLS sertifikatas neduos jums švarios spynelės, jei pats puslapis nurodo nesaugų turinį.

Aktyvus ir pasyvus mišrus turinys

Naršyklės skirtingai traktuoja dvi kategorijas pagal tai, kiek kiekviena pavojinga.

Pasyvus (arba „rodymo“) mišrus turinys

Paveikslėliai, garsas ir vaizdo įrašai, įkelti per HTTP. Jie negali vykdyti kodo, todėl rizika mažesnė — užpuolikas galėtų pakeisti paveikslėlį, bet ne perimti puslapio valdymo. Naršyklės dažnai vis dar juos įkelia, bet panaikina spynelę ir užregistruoja įspėjimą. Vis dažniau jos ten, kur įmanoma, automatiškai pakelia juos į HTTPS.

Aktyvus mišrus turinys

Scenarijai, stilių lapai, „iframe“, šriftai ir XHR/fetch užklausos per HTTP. Jie gali pakeisti visą puslapį, todėl yra pavojingi. Šiuolaikinės naršyklės juos visiškai blokuoja. Štai kodėl nesaugus <script> gali priversti dalį svetainės tiesiog nustoti veikti — sugedęs meniu, dingęs valdiklis, negyva forma.

Tipas	Pavyzdžiai	Naršyklės elgsena
Pasyvus	img, audio, video	Spynelė panaikinama; dažnai automatiškai pakeliama
Aktyvus	script, css, iframe, font, fetch	Visiškai blokuojama

Žingsnis po žingsnio: kaip rasti ir pašalinti

1. Raskite kaltininkus. Atverkite puslapį, paleiskite naršyklės kūrėjų konsolę ir ieškokite „Mixed Content“ pranešimų — kiekvienas įvardija tikslų HTTP URL. Svetainės patikra juos taip pat parodo.
2. Pataisykite įkoduotas nuorodas. Atnaujinkite http:// į https:// savo šablonuose, temos failuose ir turinyje. Turinio valdymo sistemoje tai dažnai yra ir duomenų bazėje, ir temoje.
3. Sutvarkykite trečiųjų šalių išteklius. Jei išorinis išteklius neturi HTTPS versijos, talpinkite jį patys arba pakeiskite. Niekada nepalikite nesaugaus trečiosios šalies scenarijaus.
4. Atnaujinkite duomenų bazę (CMS svetainės). Tokiose platformose kaip WordPress atlikite paiešką ir keitimą per įrašų turinį bei nustatymus, kad senus http:// URL pakeistumėte į https://.
5. Patikrinkite iš naujo. Įsitikinkite, kad konsolė švari ir spynelė sugrįžo.

CSP apsaugos tinklas

Kai akivaizdūs kaltininkai pašalinti, pridėkite turinio saugumo politikos direktyvą, liepiančią naršyklei automatiškai pakelti bet kokias likusias HTTP nuorodas į HTTPS prieš jas užklausiant:

Content-Security-Policy: upgrade-insecure-requests

Tai pagauna praleistus atsitiktinius URL — pavyzdžiui, seną paveikslėlio nuorodą pamirštame įraše — ir perrašo juos vietoje. Tai atsarginė priemonė, o ne šaltinio taisymo pakaitalas, bet vertinga. Daugiau sužinosite mūsų CSP vadove ir platesniame saugumo antraščių kontroliniame sąraše.

Kaip užkirsti kelią pasikartojimui

Kai jau švaru, įsitikinkite, kad visoje svetainėje nukreipiate HTTP į HTTPS ir naujame turinyje naudojate protokolui reliatyvias arba absoliučias https:// nuorodas. Pridėjus HSTS dar užtikrinama, kad naršyklės niekada net nebandys nesaugios užklausos į jūsų domeną. Visą vaizdą patikrinkite atlikę nemokamą patikrą.

Dažniausiai užduodami klausimai

Susiję vadovai