Brojač na HTTPS stranici

Web-mjesto koristi HTTPS. Posjetitelji vide lokot. Zatim se zalijepi nešto s drugog web-mjesta i lokot nestane – ili se zalijepljeni sadržaj jednostavno ne pojavi.

To je mješoviti sadržaj i vrijedi uložiti deset minuta u razumijevanje jer tiho kvari mnoge stare ugrađene dodatke.

Što preglednici poduzimaju

Stranici učitanoj putem HTTPS-a nije dopušteno neprimjetno dohvaćati svoje dijelove putem običnog HTTP-a. Prisluškivač koji može izmijeniti nešifrirani zahtjev za sliku može izmijeniti ono što posjetitelji vide, pa preglednik ne dopušta miješanje tih dvaju protokola.

Za slike i skripte suvremeni preglednici ili sami nadograđuju zahtjev na HTTPS ili ga potpuno blokiraju. Što će se od toga dogoditi ovisi o pregledniku i vrsti resursa, a ni na jedan se ishod nije sigurno oslanjati.

Kako stoji Stats4U

Riješeno, na dva mjesta. U skriptu je adresa krajnje točke za brojanje upisana kao HTTPS, pa je svaki njezin zahtjev šifriran bez obzira na način isporuke stranice koja ju je učitala. A poslužitelj na obični HTTP odgovara trajnim preusmjeravanjem na HTTPS – provjereno tijekom pisanja, i za skriptu i za samu sliku brojača.

Zato brojač ugrađen aktualnim isječkom neće ukloniti lokot i ništa ne treba postaviti.

Jedini slučaj koji još može stvoriti poteškoće

Ako je netko svojedobno kopirao skriptu brojača u samo web-mjesto umjesto da se poveže s njom – što je bila uobičajena navika, a neke stranice to rade i danas – ondje se izvršava zamrznuta kopija iz tog vremena. Dovoljno stara kopija sadržava običnu HTTP adresu i nikakvi popravci s naše strane ne dopiru do nje.

Dvije minute za provjeru: pogledajte izvorni kod stranice i potražite http:// iza kojeg slijedi naša domena. Ako ga pronađete, cijeli kod za ugradnju trebalo bi zamijeniti aktualnim isječkom sa stranice statistike.

A dok je izvorni kod otvoren: povezivanje sa skriptom bolje je od držanja vlastite kopije. Postoji zasebna objava o razlozima, a vrijedi za mnogo više od brojača.