מונה בדף HTTPS

אתר משתמש ב־HTTPS. המבקרים רואים מנעול. ואז מדביקים בו משהו מאתר אחר, והמנעול נעלם – או שהדבר שהודבק פשוט אינו מופיע.

זהו תוכן מעורב, וכדאי להקדיש עשר דקות להבנתו מפני שהוא משבש בשקט הרבה רכיבים מוטמעים ישנים.

מה הדפדפנים עושים בנידון

דף שנטען דרך HTTPS אינו מורשה למשוך בשקט חלקים ממנו דרך HTTP לא מוצפן. מי שמאזין ויכול לשנות בקשה לא מוצפנת לתמונה יכול לשנות את מה שהמבקרים רואים, ולכן הדפדפן מסרב לאפשר לערבב בין השניים.

בתמונות ובסקריפטים, דפדפנים מודרניים משדרגים את הבקשה ל־HTTPS בעצמם או חוסמים אותה לחלוטין. מה משניהם יקרה תלוי בדפדפן ובסוג המשאב, ולא בטוח להסתמך על אף אחת מהתוצאות.

המצב בשירות Stats4U

מטופל, בשני מקומות. כתובת נקודת הקצה לספירה כתובה בסקריפט כ־HTTPS, כך שכל בקשה שהוא שולח מוצפנת בלי קשר לאופן שבו נמסר הדף שטען אותו. והשרת עונה ל־HTTP לא מוצפן בהפניה קבועה ל־HTTPS – הדבר נבדק בעת הכתיבה, הן עבור הסקריפט והן עבור תמונת המונה עצמה.

לכן מונה שמוטמע עם קטע קוד עדכני לא ישבש את המנעול, ואין מה להגדיר.

המקרה היחיד שעדיין עלול להפתיע

אם מישהו העתיק פעם את סקריפט המונה לתוך האתר עצמו במקום לקשר אליו – הרגל שהיה נפוץ, ויש דפים שעושים זאת עד היום – מה שפועל שם הוא עותק קפוא מהמועד שבו זה קרה. עותק ישן מספיק מכיל כתובת HTTP לא מוצפנת, ושום תיקון בצד שלנו אינו מגיע אליו.

שתי דקות לבדיקה: יש להציג את מקור הדף ולחפש http:// ואחריו הדומיין שלנו. תוצאה שם פירושה שיש להחליף את ההטמעה כולה בקטע קוד עדכני מדף הסטטיסטיקה.

וכל עוד המקור פתוח: קישור לסקריפט עדיף על אחסון עותק שלו מלכתחילה. יש רשומה נפרדת שמסבירה מדוע, והיא חלה על הרבה יותר ממונים.