Čo je zmiešaný obsah?

Zmiešaný obsah: Prečo by ste nemali používať obsah HTTP na svojej webovej stránke HTTPS

Aktualizácia webovej stránky na protokol HTTPS (Hypertext Transfer Protocol Secure) ju môže ochrániť pred kybernetickými hrozbami tým, že šifruje jej údaje pri prenose. Po aktualizácii budú všetky údaje odosielané na vašu webovú lokalitu alebo prostredníctvom nej šifrované pomocou certifikátu TLS (Transport Layer Security). Certifikát TLS v podstate zakóduje údaje pri prenose tak, aby ich mohli dešifrovať len príslušní používatelia.

Aj keď má vaša webová lokalita nainštalovaný a aktivovaný certifikát TLS, môže používať niektoré obsah prostredníctvom pripojenia HTTP (Hypertext Transfer Protocol). Ide o chybu dizajnu známu ako zmiešaný obsah, ktorá pre vašu webovú lokalitu predstavuje niekoľko problémov.

Čo je zmiešaný obsah?

Zmiešaný obsah zahŕňa načítanie časti obsahu webovej stránky HTTPS cez pripojenie HTTP. Webové stránky zvyčajne pozostávajú z viac ako len hypertextového Označovanie (HTML); môžu obsahovať obrázky, videá, skripty, súbory štýlov a iné typy obsahu. Ak webová stránka HTTPS načíta akýkoľvek svoj obsah cez pripojenie HTTP, má zmiešaný obsah.

Na webových stránkach sa nachádzajú dva základné typy zmiešaného obsahu: pasívny a aktívny. Prvý typ pozostáva z obsahu načítaného cez HTTP, ktorý neinteraguje s webovou stránkou, na ktorej je uverejnený, zatiaľ čo druhý typ pozostáva z obsahu načítaného cez HTTP, ktorý interaguje s webovou stránkou, na ktorej je uverejnený.

Obrázky a videá neinteragujú s webovými stránkami, preto sa klasifikujú ako pasívny zmiešaný obsah. Na druhej strane skripty a súbory štýlov môžu meniť rozvrhnutie alebo funkčnosť webových stránok, preto sa klasifikujú ako aktívny zmiešaný obsah.

Čo Príčiny Zmiešaný obsah?

Vo väčšine prípadov je zmiešaný obsah výsledkom neúplného migrácia z HTTP na HTTPS. Pri migrácii webovej stránky na protokol HTTPS musíte zmeniť Adresy URL načítaného obsahu tak, aby obsahovali predponu "https". Ak sa napríklad obrázok nachádza na adrese "http://example.com/category/image-name.jpg", musíte zmeniť jeho umiestnenie na "https://example.com/category/image-name.jpg".

Pridanie jediného písmena do umiestnenia obrázka sa môže zdať bezvýznamné, ale vášmu webovému sídlu oznamuje, aby tento obrázok načítal cez pripojenie HTTPS. Ak obrázok používa vo svojom umiestnení štandardnú predponu "http" adresa, načíta sa pre návštevníkov prostredníctvom pripojenia HTTP.

Samozrejme, toto pravidlo sa vzťahuje na všetky formy obsahu, ktoré musia používatelia načítať pri návšteve vašej webovej lokality. Každá časť načítaného obsahu má adresu URL označujúcu jej umiestnenie. Na úplný prechod z protokolu HTTP na protokol HTTPS musíte aktualizovať všetky tieto adresy URL. V opačnom prípade bude mať vaša webová lokalita zmiešaný obsah.

Nebezpečenstvo zmiešaného obsahu

Ak necháte zmiešaný obsah bez povšimnutia, môže to viesť k mnohým problémom. Na začiatok to môže zabrániť tomu, aby sa na vašej webovej lokalite zobrazovala ikona zabezpečeného visiaceho zámku vedľa jej doména názov. Webové stránky so zmiešaným obsahom používajú kombináciu pripojení HTTP aj HTTPS, takže nie sú úplne bezpečné. Po načítaní stránky so zmiešaným obsahom sa návštevníci v adresnom riadku prehliadača stretnú s hlásením "not secure" (nezabezpečené) namiesto ikony zabezpečeného visiaceho zámku.

Webové prehliadače často štandardne blokujú zmiešaný obsah. Napríklad Firefox automaticky blokuje všetok aktívny zmiešaný obsah, zatiaľ čo Chrome štandardne blokuje aktívny aj pasívny zmiešaný obsah. Návštevníci majú stále prístup k zmiešanému obsahu na vašom webovom sídle, ale musia vo svojom webovom prehliadači vybrať možnosť načítania nezabezpečeného obsahu. Keďže však webové prehliadače varujú používateľov pred nebezpečenstvami zmiešaného obsahu, väčšina používateľov pravdepodobne radšej opustí vašu webovú lokalitu, než by ju nechala načítať.

Keďže sa načítava cez pripojenie HTTP, zmiešaný obsah spôsobuje, že je vaša webová lokalita náchylná na hackerské útoky. Protokol HTTPS je určený na vytvorenie bezpečného spojenia medzi vašou webovou stránkou a používateľmi, ktorí ju navštívia. Keď používateľ sťahuje údaje z vašej webovej lokality alebo ich na ňu nahráva, protokol HTTPS ich zašifruje. Zmiešaný obsah sa načítava cez pripojenie HTTP, takže všetky vymieňané údaje s ním spojené nie sú šifrované.

Aktívny zmiešaný obsah predstavuje veľké bezpečnostné riziko, ktoré môžu hackeri zneužiť na nekalé účely. Ak sa hacker napojí na spojenie medzi návštevníkmi vašej webovej lokality a aktívnym zmiešaným obsahom, môže zmeniť vzhľad alebo funkčnosť vašej webovej lokality. Prihlasovací formulár založený na skripte môže byť zmenený na falošný prihlasovací formulár, ktorý ukradne prihlasovacie údaje návštevníkov, alebo môže byť celá vaša webová lokalita presmerovaná na nekalú spamovú webovú lokalitu.

Pasívny zmiešaný obsah je menej dôležitý, pretože neinteraguje s webovými stránkami, ale napriek tomu by ste sa mu mali snažiť vyhnúť. Napríklad obrázky, ktoré sa načítavajú cez pripojenie HTTP, sa môžu zmeniť. Hacker môže obrázok na vašej webovej stránke nahradiť reklamou. Namiesto skutočného obrázka uvidia používatelia pri načítaní webovej stránky reklamu hackera.

Zmiešaný obsah môže negatívne ovplyvniť vyhľadávanie rebríčky. HTTPS je priamo hodnotiaci signál, ktorý používa algoritmus Google. Zmiešaný obsah porušuje protokol HTTPS tým, že časť obsahu sa načíta cez pripojenie HTTP. Súbory HTML sa môžu stále načítať cez pripojenie HTTPS, ale zmiešaný obsah bude používať nezabezpečený protokol, ktorý nemá technológiu šifrovania HTTPS. Preto môže Google vašej webovej lokalite priradiť nižšie hodnotenie, ak má zmiešaný obsah.

Ako identifikovať zmiešaný obsah na webovej lokalite

Zmiešaný obsah na webovej lokalite môžete zistiť jednoduchou návštevou jej webových stránok a vyhľadaním varovnej správy vo webovom prehliadači. Na tento účel sa odporúča používať prehliadač Chrome, pretože tento prehliadač značky Google blokuje pasívny aj aktívny zmiešaný obsah. Ak stránka obsahuje zmiešaný obsah, prehliadač Chrome ju zablokuje a zároveň zobrazí varovnú správu v blízkosti adresného riadka. Prejdite každú webovú stránku na svojom webovom sídle a zistite ktoré vyvolávajú varovné hlásenie o zmiešanom obsahu.

Jednoduchším spôsobom, ako identifikovať zmiešaný obsah na webovej lokalite, je použiť nástroj HTTPS-checker od spoločnosti JitBit. Tento nástroj je k dispozícii na adrese jitbit.com/sslcheck. plaziť sa až 400 stránok vášho webu pri hľadaní zmiešaného obsahu. Ak vaša webová lokalita obsahuje zmiešaný obsah, nástroj JitBit ho odhalí.

Každý načítaný obsah na vašej webovej lokalite musí používať pripojenie HTTPS. Ak sa akýkoľvek obsah načíta prostredníctvom pripojenia HTTP, vaša webová lokalita bude mať zmiešaný obsah, čo poškodí jej návštevnosť, bezpečnosť a umiestnenie.