Počítadlo na stránce s HTTPS

Web běží na HTTPS. Návštěvníci vidí zámek. Pak se vloží něco z jiného webu a zámek zmizí – nebo se vložená věc prostě nezobrazí.

To je smíšený obsah a stojí za deset minut porozumění, protože potichu rozbíjí spoustu starých vložených widgetů.

Co s tím dělají prohlížeče

Stránka načtená přes HTTPS nesmí potichu stahovat své části přes obyčejné HTTP. Kdo odposlouchává a dokáže změnit nešifrovaný požadavek na obrázek, dokáže změnit, co návštěvníci vidí, a proto prohlížeč nedovolí obojí míchat.

U obrázků a skriptů moderní prohlížeče požadavek buď samy povýší na HTTPS, nebo ho rovnou zablokují. Co z toho nastane, závisí na prohlížeči a typu zdroje, a ani na jeden výsledek nelze bezpečně spoléhat.

Jak je na tom Stats4U

Vyřešeno, na dvou místech. Skript má adresu počítacího koncového bodu zapsanou jako HTTPS, takže každý jeho požadavek je šifrovaný bez ohledu na to, jak byla doručena stránka, která ho načetla. A server na obyčejné HTTP odpovídá trvalým přesměrováním na HTTPS – ověřeno při psaní tohoto článku, jak u skriptu, tak u samotného obrázku počítadla.

Počítadlo vložené současným kódem tedy zámek nerozbije a není co nastavovat.

Jediný případ, který ještě může kousnout

Pokud si někdo kdysi zkopíroval skript počítadla přímo na web, místo aby na něj odkazoval – což byl běžný zvyk a stránky, které to dělají, existují dodnes – pak tam běží zamrzlá kopie z doby, kdy se to stalo. Dost stará kopie má uvnitř adresu s obyčejným HTTP a žádná oprava na naší straně se k ní nedostane.

Kontrola za dvě minuty: zobrazte zdrojový kód stránky a vyhledejte http:// následované naší doménou. Pokud ho tam najdete, je třeba celé vložení nahradit současným kódem ze stránky statistik.

A když už máte zdrojový kód otevřený: odkazovat na skript je lepší než hostovat jeho kopii. O tom, proč, je samostatný článek, jehož závěr platí pro mnohem víc než jen pro počítadla.