Mi az a vegyes tartalom?

Vegyes tartalom: Miért ne használjon HTTP tartalmat a HTTPS weboldalán?

Ha weboldalát a Hypertext Transfer Protocol Secure (HTTPS) protokollra frissíti, az adatok titkosításával megvédheti azt a kiberfenyegetésektől. A frissítés után a webhelyére vagy a webhelye által küldött adatok titkosítása egy TLS-tanúsítvány (Transport Layer Security) segítségével történik. A TLS-tanúsítvány lényegében titkosítja az adatokat a szállítás során, hogy csak a megfelelő felhasználók számára legyenek megfejthetők.

Még ha a webhelye rendelkezik is telepített és aktivált TLS-tanúsítvánnyal, akkor is előfordulhat, hogy a webhely a tartalom HTTP (Hypertext Transfer Protocol) kapcsolaton keresztül. Ez a vegyes tartalomként ismert tervezési hiba számos problémát vet fel a webhelye számára.

Mi a vegyes tartalom?

A vegyes tartalom azt jelenti, hogy egy HTTPS weboldal a tartalom egy részét HTTP-kapcsolaton keresztül tölti be. A weboldalak jellemzően nem csak egy Hypertext Markup Language (HTML) fájl; tartalmazhatnak képek, videók, szkriptek, stílustáblák és más típusú tartalmak. Ha egy HTTPS weboldal bármelyik tartalma HTTP-kapcsolaton keresztül töltődik be, akkor vegyes tartalommal rendelkezik.

A weboldalakon található vegyes tartalomnak két elsődleges típusa van: a passzív és az aktív. Az előbbi olyan HTTP-töltésű tartalomból áll, amely nem lép kölcsönhatásba azzal a weboldallal, ahol közzéteszik, míg az utóbbi olyan HTTP-töltésű tartalomból áll, amely kölcsönhatásba lép azzal a weboldallal, ahol közzéteszik.

A képek és videók nem lépnek interakcióba a weboldalakkal, ezért passzív vegyes tartalomnak minősülnek. A szkriptek és stíluslapok viszont megváltoztathatják a weboldalak elrendezését vagy funkcióit, ezért aktív vegyes tartalomnak minősülnek.

Mi Okok Vegyes tartalom?

A legtöbb esetben a vegyes tartalom a hiányos migráció HTTP-ről HTTPS-re. Amikor a webhelyét HTTPS-re állítja át, meg kell változtatnia a URL-ek a betöltött tartalmakra, hogy azok a "https" előtaggal legyenek ellátva. Ha például egy kép a "http://example.com/category/image-name.jpg" címen található, akkor a helyét "https://example.com/category/image-name.jpg" címre kell megváltoztatnia.

Egyetlen betű hozzáadása egy kép helyéhez jelentéktelennek tűnhet, de ez azt jelenti, hogy a webhelye HTTPS-kapcsolaton keresztül tölti be az adott képet. Ha egy kép a szokásos "http" előtagot használja a helymeghatározásában cím:, a látogatók számára HTTP-kapcsolaton keresztül fog betöltődni.

Természetesen ez a szabály a tartalom minden olyan formájára vonatkozik, amelyet a felhasználóknak be kell tölteniük, amikor meglátogatják a webhelyét. Minden betöltött tartalomnak van egy URL-címe, amely a helyét jelzi. A HTTP-ről a HTTPS-re való teljes átálláshoz ezeket az URL-címeket mind frissítenie kell. Ellenkező esetben webhelye vegyes tartalmakkal fog rendelkezni.

A vegyes tartalom veszélyei

Ha a vegyes tartalom észrevétlen marad, az számos problémához vezethet. Először is, megakadályozhatja, hogy webhelye megjelenítse a biztonságos lakat ikonját a domain név. A vegyes tartalmú weboldalak HTTP- és HTTPS-kapcsolatok keverékét használják, így nem teljesen biztonságosak. A vegyes tartalmú oldal betöltésekor a látogatók a böngésző címsorában a "nem biztonságos" üzenettel találkoznak a biztonságos lakat ikon helyett.

A webböngészők gyakran alapértelmezés szerint blokkolják a vegyes tartalmakat. A Firefox például alapértelmezés szerint automatikusan blokkol minden aktív vegyes tartalmat, míg a Chrome alapértelmezés szerint blokkolja az aktív és a passzív vegyes tartalmakat. A látogatók továbbra is elérhetik a vegyes tartalmat a webhelyén, de a webböngészőjükben ki kell választaniuk a nem biztonságos tartalom betöltését. Mivel azonban a webböngészők figyelmeztetik a felhasználókat a vegyes tartalom veszélyeire, a legtöbb felhasználó valószínűleg inkább kilép a webhelyéről, mintsem hagyja azt betölteni.

Mivel HTTP-kapcsolaton keresztül töltődik be, a vegyes tartalom miatt a webhelye könnyen feltörhetővé válik. A HTTPS-t úgy tervezték, hogy biztonságos kapcsolatot hozzon létre webhelye és az azt látogató felhasználók között. Amikor egy felhasználó adatokat tölt le vagy tölt fel a webhelyéről, a HTTPS titkosítja azokat. A vegyes tartalom HTTP-kapcsolaton keresztül töltődik be, így a hozzá kapcsolódó kicserélt adatok nem titkosítottak.

Az aktív vegyes tartalom jelentős biztonsági kockázatot jelent, amelyet a hackerek rosszindulatú célokra használhatnak ki. Ha egy hacker megzavarja a webhely látogatói és az aktív vegyes tartalom közötti kapcsolatot, megváltoztathatja a webhely megjelenését vagy funkcióit. Egy szkriptalapú bejelentkezési űrlapot megváltoztathat egy hamis bejelentkezési űrlapra, amely ellopja a látogatók hitelesítő adatait, vagy az egész webhelyét átirányíthatja egy rosszindulatú spam webhelyre.

A passzív kevert tartalom kevésbé aggasztó, mivel nem lép kölcsönhatásba a weboldalakkal, de ennek ellenére meg kell próbálnia elkerülni. A HTTP-kapcsolaton keresztül betöltött képek például megváltoztathatók. Egy hacker lecserélhet egy képet a weboldalán egy hirdetésre. Ahelyett, hogy a felhasználók a tényleges képet látnák, a hacker hirdetését látják, amikor betöltik a weboldalt.

Végül pedig a vegyes tartalom negatívan befolyásolhatja a webhely keresési rangsorát. A HTTPS egy közvetlen rangsorolási jel, amelyet a Google algoritmusa használ. A vegyes tartalom megtöri a HTTPS-t azáltal, hogy bizonyos tartalmakat HTTP-kapcsolaton keresztül tölt be. A HTML-fájlok továbbra is betölthetők HTTPS-kapcsolaton keresztül, de a vegyes tartalom egy nem biztonságos protokollt használ, amely nem rendelkezik a HTTPS titkosítási technológiájával. Ezért a Google alacsonyabb helyezést adhat a webhelyének, ha az vegyes tartalommal rendelkezik.

Hogyan azonosíthatja a vegyes tartalmakat a weboldalán

A webhelyen található vegyes tartalmakat megtalálhatja, ha egyszerűen meglátogatja a weboldalát, és a böngészőjében figyelmeztető üzenetet keres. Javasoljuk, hogy erre a célra a Chrome-ot használja, mivel a Google márkájú böngésző mind a passzív, mind az aktív kevert tartalmakat blokkolja. Ha egy oldal vegyes tartalmat tartalmaz, a Chrome blokkolja azt, miközben a címsor közelében egy figyelmeztető üzenetet jelenít meg. Menjen végig a webhelye minden egyes weboldalán, hogy megállapíthassa amely vegyes tartalmú figyelmeztető üzenetet váltanak ki.

Egyszerűbb módja a vegyes tartalmak azonosításának a JitBit HTTPS-ellenőrző eszközének használata. A jitbit.com/sslcheck címen érhető el. kúszás akár 400 weboldalának oldalaiból a keresés vegyes tartalmú. Ha webhelye vegyes tartalommal rendelkezik, a JitBit eszköze feltárja azt.

A webhelyén minden betöltött tartalomnak HTTPS-kapcsolatot kell használnia. Ha bármilyen tartalom HTTP-kapcsolaton keresztül töltődik be, webhelye vegyes tartalmakkal rendelkezik, ami károsítja a forgalmat, a biztonságot és a rangsorolást.