Il contatore su una pagina HTTPS
Un sito è su HTTPS. I visitatori vedono un lucchetto. Poi viene incollato qualcosa proveniente da un altro sito, e il lucchetto sparisce — oppure quello che è stato incollato semplicemente non appare.
Questo si chiama contenuto misto, e vale dieci minuti per capirlo, perché rompe silenziosamente un gran numero di vecchi widget incorporati.
Cosa fanno i browser al riguardo
Una pagina caricata tramite HTTPS non può caricare silenziosamente parti di se stessa tramite HTTP semplice. Chi è in grado di intercettare e alterare una richiesta di immagine non cifrata può alterare quello che vedono i visitatori, quindi il browser non permette che le due cose si mescolino.
Per immagini e script, i browser moderni aggiornano da soli la richiesta a HTTPS, oppure la bloccano del tutto. Quale delle due cose accada dipende dal browser e dal tipo di risorsa, e nessuno dei due esiti è qualcosa su cui fare affidamento.
Come si comporta Stats4U
Gestito, in due punti. Nello script è scritto l'indirizzo dell'endpoint di conteggio in formato HTTPS, quindi ogni richiesta che effettua è cifrata, indipendentemente da come è stata servita la pagina che l'ha caricato. E il server risponde a HTTP semplice con un reindirizzamento permanente verso HTTPS — verificato durante la stesura di questo articolo, sia per lo script sia per l'immagine del contatore stessa.
Quindi un contatore incorporato con uno snippet aggiornato non romperà il lucchetto, e non c'è nulla da configurare.
L'unico caso che può ancora dare problemi
Se in passato qualcuno ha copiato lo script del contatore direttamente dentro un sito invece di collegarlo — un'abitudine comune, e ci sono ancora pagine che lo fanno oggi — allora quel sito esegue una copia congelata a partire da quel momento. Una copia abbastanza vecchia contiene al suo interno un indirizzo HTTP semplice, e nessuna correzione dalla nostra parte può raggiungerla.
Due minuti per verificarlo: nel codice sorgente della pagina si cerca http:// seguito dal nostro dominio. Se ne compare uno, l'intero embed va sostituito con uno snippet aggiornato preso dalla pagina delle statistiche.
Nell'occasione, vale la pena collegare lo script invece di ospitarne una copia. C'è un articolo a parte sul perché, e vale per molto più che i soli contatori.