Μετρητής σε σελίδα HTTPS

Ένας ιστότοπος λειτουργεί με HTTPS. Οι επισκέπτες βλέπουν ένα λουκέτο. Μετά επικολλάται κάτι από άλλον ιστότοπο και το λουκέτο εξαφανίζεται – ή το επικολλημένο στοιχείο απλώς δεν εμφανίζεται.

Αυτό λέγεται μεικτό περιεχόμενο, και αξίζει δέκα λεπτά για να το κατανοήσει κανείς, γιατί χαλάει αθόρυβα πολλά παλιά ενσωματωμένα widget.

Τι κάνουν τα προγράμματα περιήγησης

Μια σελίδα που φορτώνεται μέσω HTTPS δεν επιτρέπεται να φέρνει αθόρυβα κομμάτια του εαυτού της μέσω απλού HTTP. Όποιος υποκλέπτει την κίνηση και μπορεί να αλλοιώσει ένα μη κρυπτογραφημένο αίτημα εικόνας μπορεί να αλλοιώσει αυτό που βλέπουν οι επισκέπτες, γι’ αυτό το πρόγραμμα περιήγησης δεν αφήνει τα δύο να αναμειχθούν.

Για εικόνες και scripts, τα σύγχρονα προγράμματα περιήγησης είτε αναβαθμίζουν μόνα τους το αίτημα σε HTTPS είτε το αποκλείουν εντελώς. Ποιο από τα δύο συμβαίνει εξαρτάται από το πρόγραμμα περιήγησης και τον τύπο του πόρου, και σε κανένα από τα δύο αποτελέσματα δεν είναι ασφαλές να βασίζεται κανείς.

Τι ισχύει για την υπηρεσία Stats4U

Έχει αντιμετωπιστεί, σε δύο σημεία. Το script έχει γραμμένη μέσα του τη διεύθυνση του σημείου μέτρησης ως HTTPS, οπότε κάθε αίτημα που κάνει είναι κρυπτογραφημένο, ανεξάρτητα από το πώς σερβιρίστηκε η σελίδα που το φόρτωσε. Και ο διακομιστής απαντά σε απλό HTTP με μόνιμη ανακατεύθυνση σε HTTPS – ελέγχθηκε κατά τη συγγραφή αυτού του άρθρου, τόσο για το script όσο και για την ίδια την εικόνα του μετρητή.

Έτσι, ένας μετρητής ενσωματωμένος με τρέχοντα κώδικα δεν θα χαλάσει το λουκέτο, και δεν υπάρχει τίποτα προς ρύθμιση.

Η μία περίπτωση που μπορεί ακόμη να δημιουργήσει πρόβλημα

Αν κάποιος κάποτε αντέγραψε το script του μετρητή μέσα στον ίδιο τον ιστότοπο αντί να το φορτώνει μέσω συνδέσμου – κάτι που ήταν συνηθισμένη πρακτική, και υπάρχουν σελίδες που το κάνουν μέχρι σήμερα – τότε αυτό που εκτελείται εκεί είναι ένα παγωμένο αντίγραφο από τη στιγμή που έγινε η αντιγραφή. Ένα αρκετά παλιό αντίγραφο έχει μέσα του μια απλή διεύθυνση HTTP, και καμία διόρθωση από τη δική μας πλευρά δεν μπορεί να το φτάσει.

Δύο λεπτά για έλεγχο: δείτε τον πηγαίο κώδικα της σελίδας και αναζητήστε http:// ακολουθούμενο από το domain μας. Αν βρεθεί, ολόκληρη η ενσωμάτωση πρέπει να αντικατασταθεί με τρέχοντα κώδικα από τη σελίδα στατιστικών.

Και αφού ο πηγαίος κώδικας είναι ανοιχτός: η φόρτωση του script μέσω συνδέσμου είναι πάντα καλύτερη από τη φιλοξενία αντιγράφου του. Υπάρχει ξεχωριστό άρθρο για το γιατί, και ισχύει για πολύ περισσότερα από τους μετρητές.