Co je to smíšený obsah?

Smíšený obsah: Proč byste neměli používat obsah HTTP na svých HTTPS webových stránkách?

Upgrade webových stránek na protokol HTTPS (Hypertext Transfer Protocol Secure) je může ochránit před kybernetickými hrozbami, protože šifruje jejich data při přenosu. Po upgradu budou všechna data odesílaná na váš web nebo z něj šifrována pomocí certifikátu TLS (Transport Layer Security). Certifikát TLS v podstatě zakóduje data při přenosu tak, aby je mohli dešifrovat pouze příslušní uživatelé.

I když má váš web nainstalovaný a aktivovaný certifikát TLS, může se stát, že se část jeho obsah prostřednictvím připojení HTTP (Hypertext Transfer Protocol). Tato konstrukční chyba, známá jako smíšený obsah, představuje pro vaše webové stránky několik problémů.

Co je to smíšený obsah?

Smíšený obsah zahrnuje načítání části obsahu webové stránky HTTPS prostřednictvím připojení HTTP. Webové stránky se obvykle skládají z více než jen z hypertextového připojení. Značení (HTML); mohou obsahovat obrázky, videa, skripty, soubory stylů a další typy obsahu. Pokud webová stránka HTTPS načítá jakýkoli svůj obsah prostřednictvím připojení HTTP, má smíšený obsah.

Na webových stránkách se vyskytují dva základní typy smíšeného obsahu: pasivní a aktivní. První typ se skládá z obsahu načteného protokolem HTTP, který neinteraguje s webovou stránkou, na níž je zveřejněn, zatímco druhý typ se skládá z obsahu načteného protokolem HTTP, který interaguje s webovou stránkou, na níž je zveřejněn.

Obrázky a videa s webovými stránkami neinteragují, takže jsou klasifikovány jako pasivní smíšený obsah. Skripty a soubory stylů naopak mohou měnit rozvržení nebo funkčnost webových stránek, takže jsou klasifikovány jako aktivní smíšený obsah.

Co Příčiny Smíšený obsah?

Ve většině případů je smíšený obsah výsledkem neúplného migrace z protokolu HTTP na HTTPS. Při migraci webových stránek na protokol HTTPS je nutné změnit adresu. Adresy URL načteného obsahu tak, aby obsahovaly předponu "https". Pokud je například obrázek umístěn na adrese "http://example.com/category/image-name.jpg", je třeba změnit jeho umístění na "https://example.com/category/image-name.jpg".

Přidání jediného písmene k umístění obrázku se může zdát bezvýznamné, ale říká vašemu webu, aby daný obrázek načítal přes připojení HTTPS. Pokud obrázek používá ve svém umístění standardní předponu "http". adresa, načte se pro návštěvníky prostřednictvím připojení HTTP.

Toto pravidlo samozřejmě platí pro všechny formy obsahu, který musí uživatelé při návštěvě vašich webových stránek načíst. Každý načtený obsah má adresu URL označující jeho umístění. Pro kompletní přechod z protokolu HTTP na protokol HTTPS je nutné aktualizovat všechny tyto adresy URL. V opačném případě budou mít vaše webové stránky smíšený obsah.

Nebezpečí smíšeného obsahu

Pokud smíšený obsah zůstane bez povšimnutí, může to vést k mnoha problémům. Za prvé to může zabránit tomu, aby se na vašich webových stránkách zobrazovala ikona zabezpečeného zámku vedle jejich doména název. Webové stránky se smíšeným obsahem využívají kombinaci připojení HTTP a HTTPS, takže nejsou zcela bezpečné. Po načtení stránky se smíšeným obsahem se návštěvníci v adresním řádku prohlížeče setkají se zprávou "not secure" (nezabezpečeno) namísto ikony zabezpečeného visacího zámku.

Webové prohlížeče často ve výchozím nastavení blokují smíšený obsah. Například Firefox ve výchozím nastavení automaticky blokuje veškerý aktivní smíšený obsah, zatímco Chrome ve výchozím nastavení blokuje aktivní i pasivní smíšený obsah. Návštěvníci mohou ke smíšenému obsahu na vašich webových stránkách stále přistupovat, ale budou muset ve svém webovém prohlížeči zvolit možnost načtení nezabezpečeného obsahu. Protože však webové prohlížeče uživatele varují před nebezpečím smíšeného obsahu, většina uživatelů pravděpodobně váš web raději opustí, než aby ho nechala načíst.

Vzhledem k tomu, že se načítá prostřednictvím připojení HTTP, je smíšený obsah vašich webových stránek náchylný k napadení hackery. Protokol HTTPS je navržen tak, aby vytvořil bezpečné spojení mezi vašimi webovými stránkami a uživateli, kteří je navštíví. Když uživatel stahuje data z vašeho webu nebo je na něj nahrává, protokol HTTPS je zašifruje. Smíšený obsah se načítá prostřednictvím připojení HTTP, takže veškerá vyměňovaná data s ním spojená nejsou šifrována.

Aktivní smíšený obsah představuje velké bezpečnostní riziko, které mohou hackeři zneužít ke škodlivým účelům. Pokud se hacker napojí na spojení mezi návštěvníky vašich webových stránek a aktivním smíšeným obsahem, může změnit vzhled nebo funkčnost vašich stránek. Přihlašovací formulář založený na skriptu může být změněn na falešný přihlašovací formulář, který ukradne přihlašovací údaje návštěvníků, nebo může být celý váš web přesměrován na nekalý spamový web.

Pasivní smíšený obsah představuje menší problém, protože neinteraguje s webovými stránkami, ale přesto byste se mu měli snažit vyhnout. Například obrázky, které se načítají přes připojení HTTP, lze změnit. Hacker může nahradit obrázek na vašich webových stránkách reklamou. Místo skutečného obrázku uvidí uživatelé při načítání webové stránky reklamu hackera.

Smíšený obsah může mít negativní vliv na hodnocení vašich webových stránek. vyhledávání žebříčků. HTTPS je přímo signál pro hodnocení používaný algoritmem Google. Smíšený obsah porušuje protokol HTTPS tím, že načítá část obsahu přes připojení HTTP. Soubory HTML se mohou stále načítat přes připojení HTTPS, ale smíšený obsah bude používat nezabezpečený protokol, který postrádá šifrovací technologii HTTPS. Proto může Google vašemu webu přidělit nižší hodnocení, pokud obsahuje smíšený obsah.

Jak identifikovat smíšený obsah na webových stránkách

Smíšený obsah na webu můžete zjistit jednoduše tak, že navštívíte jeho webové stránky a vyhledáte varovnou zprávu ve webovém prohlížeči. K tomuto účelu doporučujeme používat prohlížeč Chrome, protože tento prohlížeč značky Google blokuje pasivní i aktivní smíšený obsah. Pokud stránka obsahuje smíšený obsah, Chrome ji zablokuje a zároveň zobrazí varovnou zprávu poblíž adresního řádku. Projděte každou webovou stránku na svém webu a zjistěte, zda který vyvolat varovnou zprávu o smíšeném obsahu.

Jednodušší způsob, jak identifikovat smíšený obsah na webu, je použít nástroj JitBit HTTPS-checker. Nástroj je k dispozici na adrese jitbit.com/sslcheck a umožňuje prolézání až 400 stránek vašeho webu při hledání smíšeného obsahu. Pokud vaše webové stránky obsahují smíšený obsah, nástroj JitBit jej odhalí.

Každý načtený obsah na vašich webových stránkách musí používat připojení HTTPS. Pokud se jakýkoli obsah načítá přes připojení HTTP, váš web bude mít smíšený obsah, což poškodí jeho návštěvnost, bezpečnost a hodnocení.