Počítadlo na stránke HTTPS

Web používa HTTPS. Návštevníci vidia zámok. Potom sa doň vloží niečo z iného webu a zámok zmizne – alebo sa vložená vec jednoducho nezobrazí.

To je zmiešaný obsah a oplatí sa mu venovať desať minút na pochopenie, pretože potichu kazí veľa starých vložených widgetov.

Čo s tým robia prehliadače

Stránka načítaná cez HTTPS nesmie potichu načítavať svoje časti cez obyčajné HTTP. Odpočúvajúci útočník, ktorý dokáže zmeniť nešifrovanú požiadavku na obrázok, dokáže zmeniť aj to, čo návštevníci vidia, preto prehliadač ich miešanie odmieta.

Pri obrázkoch a skriptoch moderné prehliadače buď samy povýšia požiadavku na HTTPS, alebo ju úplne zablokujú. Ktorá možnosť nastane, závisí od prehliadača a typu zdroja, a bezpečne sa nedá spoliehať ani na jeden výsledok.

Ako je na tom Stats4U

Vyriešené, na dvoch miestach. Skript má adresu počítacieho koncového bodu zapísanú cez HTTPS, takže každá jeho požiadavka je šifrovaná bez ohľadu na to, ako bola doručená stránka, ktorá ho načítala. A server na obyčajné HTTP odpovedá trvalým presmerovaním na HTTPS – overené pri písaní tohto textu pri skripte aj samotnom obrázku počítadla.

Počítadlo vložené aktuálnym úryvkom teda nenaruší zámok a nie je čo nastavovať.

Jediný prípad, ktorý ešte môže prekvapiť

Ak niekto kedysi skopíroval skript počítadla priamo do webu namiesto odkazu naň – čo bývalo bežným zvykom a niektoré stránky to robia dodnes –, beží tam zmrazená kópia z daného času. Dosť stará kópia má vnútri adresu s obyčajným HTTP a žiadne opravy na našej strane sa k nej nedostanú.

Dve minúty na kontrolu: zobrazte zdroj stránky a vyhľadajte http:// nasledované našou doménou. Nález znamená, že celé vloženie by sa malo nahradiť aktuálnym úryvkom zo stránky so štatistikami.

A keď už je zdroj otvorený: odkazovanie na skript je vždy lepšie než hosťovanie jeho kópie. O dôvode je samostatný príspevok, pričom to platí pre oveľa viac než len počítadlá.