Какво точно е предупреждението за смесено съдържание?

"Този сайт има несигурно съдържание;" "само защитено съдържание се показва;" "Firefox има блокирано съдържание, което не е защитено." Понякога ще се натъкнете на тези предупреждения, докато сърфирате в интернет, но какво точно означават те?

Съществуват два вида смесено съдържание - едната е по-лоша от другата, но и двете не са добри. Предупрежденията със смесено съдържание показват, че нещо не е наред с уеб страницата, която посещавате.

Какво е смесено съдържание?

Всичко това се свежда до разликата между HTTP и HTTPS. HTTP е най-често използваният тип връзка - когато посещавате уебсайт, използвайки HTTP протокол, връзката ви с уебсайта не е защитена. Всеки, който подслушва трафика, може да види страницата, която разглеждате, и всички данни, които изпращате назад и напред.

Ето защо имаме HTTPS, който е буквално "HTTP Secure". HTTPS създава сигурна връзка между вас и уеб сървъра. Връзката е криптирана и удостоверена, така че никой не може да ви присвива трафика и имате известна увереност, че сте свързани с правилния уебсайт. Това е изключително важно за осигуряване на пароли за сметки и данни за онлайн плащания, като се гарантира, че никой не може да ги подслушва.

Предупрежденията със смесено съдържание показват проблем с уеб страница, до която имате достъп през HTTPS. HTTPS връзката трябва да е сигурна, но изходният код на уеб страницата изтегля други ресурси с несигурен HTTP протокол, а не HTTPS. Адресната лента на уеб браузъра ще каже, че сте свързани с HTTPS, но страницата също така зарежда ресурси с несигурен HTTP протокол във фонов режим. За да сте сигурни, че уеб страницата, която използвате, не е напълно сигурна, браузърите показват предупреждение, че страницата съдържа както HTTPS, така и HTTP съдържание - смесено съдържание, с други думи.

Защо това е опасно

Ето защо това е опасно. Да речем, че сте на платежна страница и възнамерявате да въведете номера на кредитната си карта. Страницата за плащане показва, че е криптирана HTTPS връзка, но виждате предупреждение със смесено съдържание. Това трябва да вдигне червен флаг. Възможно е данните за плащане, които въвеждате, да бъдат уловени от несигурно съдържание и да бъдат изпратени чрез несигурна връзка, премахвайки ползата от защитата на HTTPS - някой може да подслушва и да вижда чувствителните ви данни.

Тъй като HTTP не удостоверява уеб сървъра по същия начин, както прави HTTPS, възможно е също така защитено HTTPS място да изтегли скрипт от HTTP сайт може да бъде измамено да тегли скрипт на атакуващия и да го изпълнява на иначе сигурен сайт. Когато се използва HTTPS, имате повече уверения, че съдържанието не е било подправено и е законно.

И в двата случая това елиминира ползата от защитена HTTPS връзка. Възможно е даден уебсайт да има предупреждение за несигурно съдържание и все още да защитава вашите лични данни правилно, но ние наистина не знаем със сигурност и не трябва да поемаме риска - затова уеб браузърите ви предупреждават, когато попаднете на уебсайт, който не е правилно кодирани.

Смесено активно съдържание срещу смесено пасивно съдържание

Всъщност има два вида смесено съдържание. По-опасното е "смесено активно съдържание" или "смесен скрипт". Това се случва, когато HTTPS сайт зарежда скриптов файл през HTTP. Файлът на скрипта може да изпълнява всеки код на страницата, която иска, така че зареждането на скрипт през несигурна връзка напълно разрушава сигурността на текущата страница. Уеб браузърите обикновено блокират този тип смесено съдържание напълно.

Вторият тип е "смесено пасивно съдържание" или "смесено съдържание на дисплея". Това се случва, когато HTTPS сайт зарежда нещо като изображение или аудио файл през HTTP връзка. Този тип съдържание не може да съсипе сигурността на страницата по същия начин, така че уеб браузърите не реагират толкова грубо. Все пак, това е все още лоша практика за сигурност, която може да причини проблеми. Например, един нападател може да замени изображението с подвеждащо изображение, подправяне на теоретично сигурна страница. Искането за зареждане на изображение също съдържа заглавия, които съдържат информация за бисквитки, свързана с даден уебсайт, така че дори зареждането на изображение върху несигурна връзка може да предизвика проблеми. Уеб браузърите често показват предупредителна икона или съобщение, вместо да блокират напълно съдържанието, тъй като този вид смесено съдържание е все още толкова често срещано на реални уебсайтове. В Chrome ще видите катинар с жълт триъгълник.

Какво да правите, когато видите предупреждение за смесено съдържание

Уеб браузърите обикновено блокират най-опасните видове смесено съдържание по подразбиране. Не го деблокирайте. Ако не можете да влезете в уебсайт или да въведете данни за онлайн плащане, без да зареждате смесеното съдържание, трябва просто да напуснете уебсайта и да не въвеждате информацията си в несигурен уебсайт. Нека собствениците на уебсайтове знаят, че техният сайт е несигурен и счупен.

Ако видите предупреждение, че дадена страница съдържа други ресурси, които може да не са защитени, вероятно е безопасно да влезете в системата. Не е добър знак, ако уебсайтът е толкова важен, колкото вашата банка има този проблем, но този вид предупреждение за смесено съдържание е много често срещано явление.

От друга страна, предупрежденията със смесено съдържание не са особено важни, ако имате достъп до уебсайт, който не се нуждае от HTTPS. Всички предупреждения за смесено съдържание са, че уеб страницата гарантира полза от защитата на HTTPS - с други думи, в най-лошия случай уеб страницата, която посещавате, е несигурна като стандартен HTTP сайт. Така че, ако сте имали достъп до уебсайт като Уикипедия, само за да прочетете някои статии и видяхте предупреждение със смесено съдържание, не трябва да се грижите за него твърде много. В най-лошия случай това е също толкова несигурно, както ако четете статии от Уикипедия в стандартна HTTP връзка, която и без това няма да имате проблем..

Защо някои уеб страници имат този проблем

Тази грешка ще видите само ако има проблем с начина на кодиране на уеб страница. Ако дадена уеб страница се обслужва през HTTPS, тя също трябва да използва протокола HTTPS за изтегляне на скриптове и друго съдържание, което се изисква. Уеб разработчиците трябва да тестват своите уеб страници, като се уверят, че не предизвикват страшно изглеждащи предупреждения в браузърите на потребителите. Ако сте потребител, не можете да направите нищо по този въпрос - собственикът на сайта трябва да го поправи.

Ако сте уеб разработчик, всичко, което трябва да направите, е да гарантирате, че вашите HTTPS страници зареждат съдържание от URL адреси на HTTPS, а не HTTP URL адреси. Един от начините да направите това е, че целият ви уебсайт работи само над SSL, така че всичко просто използва HTTPS.

Ако искате да създадете страница, която може да бъде обслужвана през HTTP или HTTPS и прави правилно автоматично, можете да използвате „URL адрес на протокол за връзка“, за да може браузърът на потребителя автоматично да избере HTTP или HTTPS, според случая, в зависимост от кой протокол е потребителят свързано с. Например, URL адрес на протокол за зареждане на изображение ще изглежда така