Счётчик на HTTPS-странице

Сайт работает по HTTPS. Посетители видят замочек. Затем на страницу попадает что-то с другого сайта, и замочек исчезает — либо вставленное просто не появляется.

Это смешанное содержимое, и в нём стоит разобраться — это займёт минут десять, — потому что оно незаметно ломает много старых встроенных виджетов.

Что с этим делают браузеры

Странице, загруженной по HTTPS, не разрешено незаметно подтягивать части себя по обычному HTTP. Тот, кто подслушивает трафик и может подменить незашифрованный запрос изображения, может подменить и то, что видят посетители, поэтому браузер не позволяет им смешиваться.

Для изображений и скриптов современные браузеры либо сами повышают запрос до HTTPS, либо блокируют его полностью. Какой из двух вариантов сработает, зависит от браузера и типа ресурса, и ни на один из этих исходов полагаться не стоит.

Как обстоят дела у Stats4U

Это решено, причём в двух местах. Адрес конечной точки подсчёта прописан в скрипте как HTTPS, поэтому любой его запрос зашифрован — независимо от того, как была отдана загрузившая его страница. А сервер отвечает на обычный HTTP постоянным перенаправлением на HTTPS — это было проверено при написании этой статьи, и для скрипта, и для самого изображения счётчика.

Поэтому счётчик, встроенный с помощью актуального сниппета, не сломает замочек, и настраивать ничего не нужно.

Единственный случай, который всё ещё может подвести

Если когда-то кто-то скопировал скрипт счётчика прямо на сайт вместо того, чтобы сослаться на него, — а это было распространённой привычкой, и есть страницы, которые делают так до сих пор, — значит, там работает замороженная копия с того самого момента. В достаточно старой копии внутри прописан обычный HTTP-адрес, и никакие исправления с нашей стороны до неё не достанут.

Проверка займёт две минуты: в исходном коде страницы нужно найти http://, за которым следует наш домен. Если он найдётся, весь этот код целиком заменяется актуальным сниппетом со страницы статистики.

Раз уж дело всё равно дошло до правки, стоит вообще перейти на ссылку на скрипт вместо хранения его копии у себя. Об этом есть отдельная статья с объяснением почему, и это касается далеко не только счётчиков.