Dlaczego moja strona pokazuje "Niezabezpieczona"? Przyczyny i rozwiązania | We.Inc
Sprawdź, dlaczego przeglądarka oznacza Twoją stronę jako niezabezpieczoną: brak HTTPS, wygasły lub niepasujący certyfikat albo mixed content. Napraw każdą przyczynę i przeskanuj wklejony HTML w poszukiwaniu linków http://.
Przeglądarki pokazują Niezabezpieczona, gdy strona nie jest serwowana przez prywatne połączenie HTTPS. Zwykle zawiodła jedna z trzech rzeczy: strona nie ma certyfikatu SSL, certyfikat wygasł lub nie pasuje do domeny albo strona HTTPS wciąż ładuje część plików przez zwykłe http://. Każda przyczyna ma swoje rozwiązanie opisane poniżej.
Typowe przyczyny i od czego zacząć
Co widzisz
Prawdopodobna przyczyna
Pierwszy krok
Niezabezpieczona na każdej stronie, adres zaczyna się od http://
Brak certyfikatu lub brak przekierowania na HTTPS
Włącz SSL u swojego hostingu, a potem przekieruj http:// na https://
Ostrzeżenie o połączeniu na całą stronę
Certyfikat wygasł lub wystawiono go na inną nazwę
Odnów go lub wystaw ponownie dla example.com i www.example.com
Brak kłódki tylko na jednej stronie
Mixed content: plik na tej stronie ładuje się przez http://
Zmień adres tego pliku na https:// (skan poniżej)
Ostrzeżenie tylko na stronie z formularzem
Formularz wysyła dane na adres http://
Ustaw action formularza na adres https://
HTTPS to szyfrowana wersja protokołu przesyłania danych w sieci, a certyfikat SSL (ściślej TLS) to plik, który potwierdza, że połączenie należy do Twojej domeny. Strona pomocy Chrome mówi, że na stronie oznaczonej jako niezabezpieczona coś jest nie tak z prywatnością połączenia i ktoś może zobaczyć informacje, które odwiedzający wysyłają lub otrzymują. Przechodź przez przyczyny po kolei: najpierw certyfikat, potem przekierowanie, na końcu mixed content.
Otwórz swoją stronę, wpisując na początku https://. Jeśli przeglądarka odmawia, certyfikatu brakuje, wygasł lub jest wystawiony na inną nazwę.
Jeśli https:// działa, ale zwykłe http:// nadal ładuje się bez przekierowania, dodaj stałe przekierowanie u swojego hostingu.
Jeśli kłódki brakuje na stronie, która ładuje się przez HTTPS, wyświetl źródło tej strony i wklej je do skanera powyżej.
Zmień każdy oznaczony adres na https:// (albo usuń plik), opublikuj i odśwież stronę.
Większość hostingów i kreatorów stron wystawia darmowe certyfikaty i odnawia je automatycznie. Jeśli Twój wygasł, sprawdź, czy domena nadal wskazuje na ten hosting.
Obejmij certyfikatem zarówno samą domenę, jak i wersję z www, bo odwiedzający wpisują obie.
Stare wpisy na blogu często osadzają obrazy z adresów http://. Wyszukaj w treściach "http://" i zaktualizuj je hurtowo.
Dodaj nagłówek Strict-Transport-Security dopiero, gdy każda strona działa przez HTTPS, bo przeglądarki przestają wtedy wracać do http://.
Najczęściej zadawane pytania
Czy odwiedzanie niezabezpieczonej strony jest niebezpieczne?
Czytanie zwykłej strony informacyjnej niesie małe ryzyko, ale wszystko, co się na niej wpisze (hasło, numer karty czy wiadomość z formularza kontaktowego), może zostać odczytane lub zmienione po drodze. Dlatego przeglądarki ostrzegają i dlatego odwiedzający odchodzą.
Jak długo ważny jest certyfikat SSL?
To zależy od wystawcy. Let's Encrypt, darmowy urząd certyfikacji non-profit, podaje, że jego domyślne certyfikaty są ważne 90 dni, dlatego automatyczne odnawianie jest tak ważne. Płatne certyfikaty mają własne warunki.
Czy komunikat Niezabezpieczona szkodzi mojej pozycji w wyszukiwarce?
Google nie opublikował wagi, którą moglibyśmy przytoczyć, więc nie będziemy zgadywać. Praktycznym kosztem są odwiedzający, którzy widzą ostrzeżenie i wychodzą, zanim cokolwiek przeczytają.
Dlaczego ostrzeżenie pojawia się tylko na jednej stronie?
Ta strona niemal zawsze ładuje coś przez http://: obraz, skrypt, font, osadzone wideo lub cel formularza. Wklej jej źródło do skanera, aby znaleźć ten adres.
Czy mogę naprawić mixed content bez edytowania każdej strony?
Częściowo. Dyrektywa Content-Security-Policy upgrade-insecure-requests każe przeglądarkom pobierać każdy zasób przez HTTPS. Pomaga tylko wtedy, gdy drugi serwer też oferuje HTTPS, więc poprawienie adresów nadal jest czystym rozwiązaniem.
Przyczyna 1: brak certyfikatu lub brak przekierowania
Jeśli pasek adresu pokazuje http:// na każdej stronie, witryna jest serwowana bez szyfrowania. Włącz SSL w panelu hostingu lub kreatora; większość wystawia darmowy certyfikat w kilka minut.
Gdy https:// już się ładuje, przekieruj wszystkie żądania http:// na tę wersję stałym przekierowaniem (301), aby stare linki i zakładki trafiały na bezpieczną wersję.
Przyczyna 2: wygasły lub niepasujący certyfikat
Certyfikat ma datę ważności i wymienia dokładne nazwy, które obejmuje. Gdy wygaśnie albo gdy ktoś odwiedza www.example.com, a certyfikat obejmuje tylko example.com, przeglądarki pokazują błąd na całą stronę zamiast małej etykiety.
Kliknij ikonę obok adresu, aby zobaczyć daty i nazwy certyfikatu, a następnie odnów go lub wystaw ponownie u swojego hostingu.
Przyczyna 3: mixed content
MDN definiuje mixed content jako bezpiecznie załadowaną stronę, która pobiera część zasobów przez HTTP. Przeglądarki próbują automatycznie przełączyć obrazy, audio i wideo na HTTPS, a blokują skrypty, arkusze stylów, iframe'y i fonty używające http://.
Zablokowane pliki psują części strony, a przełączone mogą po cichu nie zadziałać, jeśli drugi serwer nie ma HTTPS. Tak czy inaczej, zmień adres na https://.
Które pliki http:// przeglądarki naprawiają, a które blokują
Opieramy się na dokumentacji MDN o mixed content. Żądania, które można przełączyć, przeglądarka przepisuje na HTTPS; wszystko inne z listy jest blokowane.
Jak przeglądarki obsługują mixed content (MDN)
Zasób
Zachowanie przeglądarki
<img src>, <audio src>, <video src>, <source>
Automatycznie przełączany na https://
Obraz, którego adres to sam adres IP, np. http://93.184.215.14/
Fonty webowe, wywołania fetch() i XMLHttpRequest, <object data>
Blokowane
Dwa nagłówki, które pomagają, gdy HTTPS już działa
Dodaj je u swojego hostingu lub w CDN. Pierwszy prosi przeglądarki o przełączenie każdego żądania; drugi mówi im, by od teraz używały dla tej domeny wyłącznie HTTPS.
Przełącz każde żądanie
Rozwiązanie tymczasowe, zanim poprawisz stare adresy. Działa tylko dla plików dostępnych również przez HTTPS.
Strict-Transport-Security (HSTS)
max-age podaje się w sekundach; 31536000 to jeden rok. Przeglądarki, które to zobaczą, nie pozwolą odwiedzającym pominąć błędów certyfikatu, więc najpierw przetestuj.
Skaner mixed content
Wklej HTML strony (kliknij stronę prawym przyciskiem, wybierz Wyświetl źródło strony, a potem skopiuj). Skan działa w Twojej przeglądarce i nic nie jest wysyłane.
HTML strony
Znaleziono adresy http://: {n}.
W tym, co wkleiłeś, nie znaleziono adresów http://.
Adres
Gdzie
Co się dzieje
Do przełączenia: przeglądarka sama próbuje https://, a plik znika, jeśli serwer nie ma HTTPS
Blokowany na stronie HTTPS: zmień na https://
Formularz wysyła dane bez szyfrowania: zmień action na https://