Cos'è il contenuto misto?

Contenuto misto: Perché non dovresti usare contenuti HTTP sul tuo sito HTTPS

Aggiornare il tuo sito web a Hypertext Transfer Protocol Secure (HTTPS) può proteggerlo dalle minacce informatiche, criptando i suoi dati in transito. Una volta aggiornato, tutti i dati inviati al o dal tuo sito web saranno criptati utilizzando un certificato TLS (Transport Layer Security). Il certificato TLS essenzialmente rimescola i dati in transito in modo che siano decifrabili solo dagli utenti appropriati.

Anche se il vostro sito web ha un certificato TLS installato e attivato, tuttavia, potrebbe utilizzare il caricamento di alcuni dei suoi contenuto attraverso una connessione Hypertext Transfer Protocol (HTTP). Un difetto di progettazione noto come contenuto misto, che pone diversi problemi al vostro sito web.

Cos'è il contenuto misto?

Il contenuto misto coinvolge una pagina web HTTPS che carica parte del suo contenuto su una connessione HTTP. Le pagine web consistono tipicamente in più di un Hypertext Markup (HTML); possono contenere immaginivideo, script, fogli di stile e altri tipi di contenuti. Se una pagina web HTTPS carica parte del suo contenuto attraverso una connessione HTTP, ha un contenuto misto.

Ci sono due tipi principali di contenuto misto che si trovano sui siti web: passivo e attivo. Il primo consiste in contenuti caricati da HTTP che non interagiscono con la pagina web in cui sono pubblicati, mentre il secondo consiste in contenuti caricati da HTTP che interagiscono con la pagina web in cui sono pubblicati.

Immagini e video non interagiscono con le pagine web, quindi sono classificati come contenuto misto passivo. Gli script e i fogli di stile, invece, possono cambiare il layout o la funzionalità delle pagine web, quindi sono classificati come contenuto misto attivo.

Cosa Cause Contenuto misto?

Nella maggior parte dei casi, il contenuto misto è il risultato di un'incompleta migrazione da HTTP a HTTPS. Quando si migra il sito web a HTTPS, è necessario modificare il parametro URL dei contenuti caricati in modo che presentino il prefisso "https". Ad esempio, se un'immagine si trova all'indirizzo "http://example.com/category/image-name.jpg", è necessario cambiarne la posizione in "https://example.com/category/image-name.jpg".

L'aggiunta di una singola lettera alla posizione di un'immagine può sembrare insignificante, ma dice al tuo sito web di caricare quell'immagine su una connessione HTTPS. Se un'immagine usa il prefisso standard "http" nella sua posizione indirizzo, si caricherà per i visitatori su una connessione HTTP, invece.

Naturalmente, questa regola si applica a tutte le forme di contenuto che gli utenti devono caricare quando visitano il tuo sito web. Ogni pezzo di contenuto caricato ha un URL che denota la sua posizione. Per una migrazione completa da HTTP a HTTPS, è necessario aggiornare tutti questi URL. Altrimenti, il tuo sito web avrà un contenuto misto.

I pericoli del contenuto misto

Lasciare che i contenuti misti passino inosservati può causare numerosi problemi. Per cominciare, può impedire che il vostro sito web visualizzi l'icona del lucchetto sicuro accanto al suo dominio nome. Le pagine Web con contenuti misti utilizzano un misto di connessioni HTTP e HTTPS, quindi non sono completamente sicure. Al caricamento di una pagina a contenuto misto, i visitatori troveranno un messaggio "non sicuro" nella barra degli indirizzi del browser anziché l'icona del lucchetto sicuro.

I browser web spesso bloccano i contenuti misti per impostazione predefinita. Firefox, per esempio, blocca automaticamente tutti i contenuti misti attivi per impostazione predefinita, mentre Chrome blocca sia i contenuti misti attivi che quelli passivi per impostazione predefinita. I visitatori possono ancora accedere al contenuto misto sul tuo sito web, ma dovranno selezionare l'opzione nel loro browser web per caricare il contenuto insicuro. Poiché i browser avvertono gli utenti dei pericoli dei contenuti misti, tuttavia, la maggior parte degli utenti probabilmente uscirà dal tuo sito web piuttosto che permetterne il caricamento.

Dal momento che si carica su una connessione HTTP, il contenuto misto lascia il tuo sito web suscettibile di hacking. HTTPS è progettato per creare una connessione sicura tra il tuo sito web e gli utenti che lo visitano. Quando un utente scarica dati da o carica dati sul tuo sito web, HTTPS li cripta. Il contenuto misto viene caricato su una connessione HTTP, quindi qualsiasi dato scambiato associato ad esso non è crittografato.

Il contenuto misto attivo è un grande rischio per la sicurezza che gli hacker possono sfruttare per scopi malevoli. Se un hacker si inserisce nella connessione tra i visitatori del tuo sito web e un pezzo di contenuto misto attivo, può cambiare l'aspetto o la funzionalità del tuo sito. Un modulo di login basato su script potrebbe essere cambiato in un falso modulo di login che ruba le credenziali dei visitatori, o il vostro intero sito web potrebbe essere reindirizzato a un nefasto sito di spam.

Il contenuto misto passivo è meno preoccupante poiché non interagisce con le pagine web, ma dovreste comunque cercare di evitarlo. Le immagini che si caricano su una connessione HTTP, per esempio, possono essere modificate. Un hacker potrebbe sostituire un'immagine sul tuo sito web con un annuncio. Invece di vedere l'immagine reale, gli utenti vedranno l'annuncio dell'hacker quando caricano la pagina web.

Infine, i contenuti misti possono influenzare negativamente il tuo sito web cerca classifiche. HTTPS è un diretto segnale di ranking utilizzato dall'algoritmo di Google. I contenuti misti violano l'HTTPS caricando alcuni contenuti su una connessione HTTP. I file HTML possono ancora essere caricati su una connessione HTTPS, ma il contenuto misto utilizzerà un protocollo insicuro che non dispone della tecnologia di crittografia dell'HTTPS. Pertanto, Google potrebbe assegnare al vostro sito web un posizionamento inferiore se presenta contenuti misti.

Come identificare il contenuto misto sul tuo sito web

È possibile trovare contenuti misti sul proprio sito web semplicemente visitando le sue pagine web e cercando un messaggio di avviso nel browser web. Si consiglia di utilizzare Chrome per questo scopo, poiché il browser a marchio Google blocca i contenuti misti sia passivi che attivi. Se una pagina contiene contenuti misti, Chrome la bloccherà visualizzando un messaggio di avviso vicino alla barra degli indirizzi. Esaminare ogni pagina web del proprio sito per determinare che quelli che attivano un messaggio di avviso di contenuto misto.

Un modo più semplice per identificare contenuti misti sul tuo sito web è quello di utilizzare lo strumento HTTPS-checker di JitBit. Disponibile su jitbit.com/sslcheck, esso strisciare fino a 400 pagine del tuo sito web alla ricerca di contenuti misti. Se il tuo sito web ha un contenuto misto, lo strumento di JitBit lo rivelerà.

Ogni contenuto caricato sul suo sito web deve utilizzare una connessione HTTPS. Se qualsiasi contenuto viene caricato su una connessione HTTP, il tuo sito web avrà un contenuto misto che danneggia il suo traffico, la sicurezza e le classifiche.