Loendur HTTPS-lehel

Sait on HTTPS-il. Külastajad näevad tabalukku. Siis kleebitakse sisse midagi teiselt saidilt ja tabalukk kaob – või kleebitud asi lihtsalt ei ilmu.

See on segasisu (mixed content) ja väärib kümmet minutit mõistmist, sest see rikub vaikselt palju vanu manustatud vidinaid.

Mida brauserid selle vastu teevad

HTTPS-i kaudu laaditud leht ei tohi vaikselt tõmmata osi endale tavalise HTTP kaudu. Pealtkuulaja, kes saab krüpteerimata pildipäringut muuta, saab muuta ka seda, mida külastajad näevad, seega brauser keeldub kahte segamast.

Piltide ja skriptide puhul kas uuendavad tänapäevased brauserid päringu ise HTTPS-iks või blokeerivad selle täielikult. Kumb juhtub, sõltub brauserist ja ressursi tüübist ning kummalegi tulemusele pole ohutu loota.

Kuidas lood on Stats4U puhul

Lahendatud, kahes kohas. Skripti sisse on loendamise lõpp-punkti aadress kirjutatud HTTPS-ina, nii et iga selle tehtud päring on krüpteeritud olenemata sellest, kuidas seda laadinud lehte serveeriti. Ja server vastab tavalisele HTTP-le püsiva ümbersuunamisega HTTPS-ile – kontrollitud selle kirjutamise ajal, nii skripti kui ka loenduripildi enda puhul.

Seega praeguse lõiguga manustatud loendur ei riku tabalukku ja midagi pole vaja seadistada.

Üks juhtum, mis võib ikkagi hammustada

Kui keegi kopeeris kunagi loenduri skripti saidile endale, selle asemel et sellele linkida – mis oli tavaline harjumus ja on lehti, mis seda siiani teevad –, siis seal töötav on külmutatud koopia sellest hetkest. Piisavalt vana koopia sisaldab tavalist HTTP aadressi ja ükski meie poolne parandus sinna ei ulatu.

Kaks minutit kontrollimiseks: vaadake lehe lähtekoodi ja otsige http:// , millele järgneb meie domeen. Tabamus tähendab, et kogu manustamiskood tuleks asendada praeguse lõiguga statistikalehelt.

Ja kui lähtekood on avatud: skriptile linkimine on parem kui selle koopia ise majutamine. Sellest on eraldi postitus, ja see kehtib palju enamale kui loenduritele.