Brojač na HTTPS stranici

Sajt je na HTTPS-u. Posetioci vide katanac. Zatim se nešto sa drugog sajta nalepi, i katanac nestaje – ili se nalepljena stvar jednostavno ne pojavljuje.

To je mešoviti sadržaj, i vredi deset minuta razumevanja jer tiho kvari mnogo starih ugrađenih vidžeta.

Šta pregledači rade u vezi sa tim

Stranici učitanoj preko HTTPS-a nije dozvoljeno da tiho povlači delove sebe preko običnog HTTP-a. Prisluškivač koji može da izmeni nešifrovani zahtev za sliku može da izmeni ono što posetioci vide, pa pregledač odbija da dozvoli mešanje.

Za slike i skriptove, moderni pregledači ili sami nadograđuju zahtev na HTTPS ili ga potpuno blokiraju. Šta će se desiti zavisi od pregledača i vrste resursa, i na nijedan ishod nije bezbedno osloniti se.

Gde je Stats4U u svemu tome

Rešeno, na dva mesta. Skript ima adresu krajnje tačke brojanja upisanu kao HTTPS, pa je svaki zahtev koji pravi šifrovan bez obzira na to kako je poslužena stranica koja ga je učitala. A server odgovara na običan HTTP trajnim preusmeravanjem na HTTPS – proveravano tokom pisanja, i za skript i za samu sliku brojača.

Dakle, brojač ugrađen aktuelnim isečkom neće pokvariti katanac i nema šta da se podešava.

Jedan slučaj koji i dalje može da ujede

Ako je neko nekada kopirao skript brojača u sam sajt umesto da ga linkuje – što je bila česta navika, a ima stranica koje to rade i danas – onda se tamo izvršava zamrznuta kopija iz trenutka kada se to dogodilo. Dovoljno stara kopija ima običnu HTTP adresu u sebi, i nikakvo popravljanje s naše strane do nje ne dopire.

Dva minuta za proveru: pogledajte izvor stranice i potražite http:// praćeno našim domenom. Pogodak znači da celu ugradnju treba zameniti aktuelnim isečkom sa stranice sa statistikom.

A dok je izvor otvoren: linkovanje skripta bolje je od hostovanja njegove kopije. Postoji zasebna objava o razlozima, i važi za mnogo više od brojača.