Een teller op een HTTPS-pagina

Een site staat op HTTPS. Bezoekers zien een hangslotje. Dan wordt er iets van een andere site in geplakt, en het hangslotje verdwijnt — of het ingeplakte verschijnt eenvoudigweg niet.

Dat is mixed content, en het is tien minuten begrip waard, want het maakt stilletjes veel oude ingebouwde widgets kapot.

Wat browsers eraan doen

Een pagina die over HTTPS geladen is, mag niet stilletjes delen van zichzelf over gewone HTTP binnenhalen. Wie kan meeluisteren en een onversleutelde aanvraag voor een afbeelding kan wijzigen, kan wijzigen wat de bezoekers zien, dus weigert de browser de twee te laten mengen.

Voor afbeeldingen en scripts waarderen moderne browsers de aanvraag ofwel zelf op naar HTTPS, ofwel blokkeren ze hem ronduit. Wat van de twee gebeurt, hangt af van de browser en het soort bron, en op geen van beide uitkomsten valt veilig te bouwen.

Hoe Stats4U ervoor staat

Geregeld, op twee plaatsen. In het script staat het adres van het telpunt als HTTPS ingebakken, dus elke aanvraag die het doet is versleuteld, ongeacht hoe de pagina die het laadde is uitgeleverd. En de server beantwoordt gewone HTTP met een permanente doorverwijzing naar HTTPS — tijdens het schrijven hiervan nagekeken, zowel voor het script als voor de tellerafbeelding zelf.

Een teller die met een actueel stukje code is ingebouwd, breekt het hangslotje dus niet, en er valt niets in te stellen.

Het ene geval dat nog kan bijten

Heeft iemand ooit het tellerscript in de site zelf gekopieerd in plaats van ernaar te linken — wat een veelvoorkomende gewoonte was, en er zijn tot op vandaag pagina's die het doen — dan draait daar een bevroren kopie van wanneer dat ook gebeurd is. Een kopie die oud genoeg is, heeft een gewoon HTTP-adres erin staan, en hoeveel wij aan onze kant ook repareren, het bereikt hem niet.

Twee minuten om na te kijken: bekijk de bron van de pagina en zoek naar http:// gevolgd door ons domein. Een treffer daar betekent dat de hele insluiting vervangen moet worden door een actueel stukje code van de statistiekpagina.

En nu de bron toch openstaat: het script linken is beter dan er een kopie van te hosten. Er is een apart bericht over waarom, en het geldt voor veel meer dan tellers.