HTTPS kõikjal: eemaldage segatud sisu SEO täiustamiseks

Sissejuhatus

Viimastel aastatel oleme näinud, et veeb ja seda kasutavate tööstusharude valik (nt brauserid, otsimootorid jne) hakkavad kasutajate turvalisust tõsisemalt võtma. Chrome on nüüd kasutajate hoiatamine HTTP veebisaitide eest rohkem brausereid on valmis jälgima, samas kui Google'i otsing on kinnitanud, et need suurendavad otsingumootorite paremusjärjestust HTTPS veebisaitidel.

Sellised arendused on motiveerinud märkimisväärset osa veebisaitide omanikest oma servereid vanalt ebaturvaliselt HTTP-lt turvalisele alternatiivsele HTTPS-ile teisaldama. (HTTPS-i peetakse turvalisemaks, kuna see nõuab serverite autentimist SSL-sertifikaatide kaudu, et kaitsta kasutajaid enamiku võrgurünnakute eest.)

Kuid enamus veebisaite on HTTPS-i rakendanud ainult nende kõige kriitilisemate komponentide jaoks, nagu sisselogimis- või POST-taotlused, kuid võivad siiski kasutada HTTP-d muude “mittekriitiliste” funktsioonide jaoks.

See oli HTTPS-i algusaegadel mõistlik, kuna krüptitud ühendused on arvutuslikult kallimad, kuna nad peavad toimima käepigistused iga uue ühenduse jaoks. Veelgi enam, sel ajal ei olnud paljud laialdaselt kasutatavad veebiarenduse platvormid, teegid ja keskkonnad HTTPS-i jaoks valmis - see põhjustas administraatoritele ja arendajatele lõpmatuid peavalusid hilisõhtuste rakenduste krahhi või varjatud käitamisvigade näol.

Muidugi pole see enam tõsi - tegelikult, nagu see artikkel väidab, mitte kasutades HTTPS-i kõik teie veebisaidi ühendused on teie ettevõttele tegelikult halvad.

Segatud sisu

Veebisaite, mis ei esita kogu oma sisu HTTPS-i kaudu, nimetatakse segatud sisu veebisaite. Akadeemiline paber 2015. aastal avaldatud avastas, et üle 43% nende Alexa 100,000 XNUMX populaarseima inimese valimist esines vähemalt ühte tüüpi segasisu.

Ehkki see ei tundu kuigi suur asi, võib segatud sisu olla kasutajatele üsna ohtlik, kuid sellel võib olla negatiivne mõju ka veebisaitidele.

Julgeolekuküsimused

Kõige olulisem põhjus HTTPS-i kasutamiseks kogu oma veebisaidil on turvalisus. Häkkerid vajavad ühte kaitsmata HTTP-ühendust. Keskel asuvad ründajad (MITM) saab teie lehe mis tahes HTTP sisu asendada, et varastada mandaate ja seansse, hankida tundlikke andmeid või käivitada brauseri ekspluateerimine ja pahavara installimine külastajate arvutitesse.

Veebisaidi ohtu sattumine paneb kasutajad loomulikult umbusku ja tulevikus seda vältima, kahjustades tõhusalt teie veebimaine.

Nii Firefox kui ka Chrome on alanud segatud sisu vaikimisi blokeerimiseks, lubades kasutajatel käsitsi sisu sisu HTTP kaudu laadida. Kuna segatud sisu on turvarisk, näitavad mõlemad brauserid kasutajatele segatud sisu hoiatust, mis võib negatiivselt mõjutada ka teie veebisaidi mainet.

Tulemuslikkuse probleemid

Turvalisuse kõrval on ka üha kasvav kasutuselevõtt HTTP / 2 tööstuse poolt on toonud veebi arvukalt jõudlus- ja turbeuuendusi.

Ehkki toimivuse kasv näib pärast HTTP / 2 olevat intuitiivne töötab ainult krüptitud HTTPS-ühenduste kaudu võimaldab protokoll brauseritel kasutada kogu suhtluseks HTTPS-i veebiserveriga ühte krüptitud ühendust.

Sama ühenduse taaskasutamine eemaldab lisakulud, luues korduvalt uusi (st uuesti käepigistust). See tähendab, et hüppamine segatud sisuga saidil krüptitud HTTPS-ühendustelt krüptimata HTTP-le on tegelikult aeglasem ja ressursinõudlikum kui täielikult kaitstud saidi külastamine ühe HTTPS-ühenduse abil.

HTTP / 2 rakendab ka 0-RTT seansi jätkamise režiim, mis võimaldab brauseritel taastada peatatud seansi nende külastatud HTTPS-i veebisaidiga, kasutades ainult ühte taotlust (täieliku käepigistuse asemel). See muudab HTTP / 2 jätkamise vähemalt sama kiireks kui krüptimata HTTP-ühendus, pakkudes samas kõiki HTTPS-i eeliseid. Segatud sisu esitamine tähendab, et teie veebisait ei saa seda või mõnda muud HTTP / 2 suurepärast võimalust täielikult ära kasutada.

Mõlemal juhul suurendab HTTP / 2 teie külastaja ühenduse kiirust teie saidiga - ja kiirus on oluline. Õppeprogrammid on aastate jooksul näidanud, et reageerimisvõime ja lehe laadimise kiirus on olulised kasutajaliidese kujundamise nõuded. Mida aeglasem on veebisaidi reageerimisaeg, seda väiksem on tõenäosus, et kasutajad püsivad seotuna, ja kasutajate kaasatus mõjutab otseselt teie veebisaidi kasutajakogemust (ja järelikult ka teie konversioonimäärasid).

Segatud sisu võib mõjutada ka teie veebisaidil kasutatavate aluseks olevate veebitehnoloogiate toimivust. Brauserid nüüd piirata javascripti funktsioone nagu teenindustöötajad ja suunavad teatised ainult turvalisse konteksti, kuna häkkerid võivad neid pahatahtlikel eesmärkidel kuritarvitada. See tähendab jälle, et teie veebisait ei saa segasisu esitamisel ühtegi neist tehnoloogiatest ära kasutada.

SEO probleemid

Otsingumootori optimeerimine (SEO) on sidusettevõtete turundajate leib ja või. SEO viitab praktikale parandada veebisaidi paremusjärjestust otsingumootori tulemuste lehel (SERP), mis mõjutab otseselt veebisaidi liikluse mahtu.

Google on kinnitanud, et nende otsingutulemuste järjestamise algoritm annab HTTPS-i kaudu pakutavatele veebisaitidele väikese edetabeli. Kuna hoog on reaalajas ja URL-i kohta, annab kogu veebisaidi HTTPS-i kaudu teenimine SEO-i kogu veebisaidile (mitte ainult need URL-id, mida serveeritakse HTTPS-i kaudu). Tõsi, see edetabelisignaali suurendamine on üsna väike, võrreldes teistega, näiteks kvaliteetse sisu või kasutajate liiklusega, tasub see siiski teie investeeringuid segasisude eemaldamisse.

Google on ka hiljuti teatas selle lehe laadimiskiirust ja veebisaidi üldist toimivust võetakse paremusjärjestuse määramisel arvesse (rasket). See tähendab, et HTTP / 2 jõudluse optimeerimine ja segatud sisu eemaldamine võivad koos töötada teie veebisaidi nähtavuse suurendamiseks veebis.

Lõpuks, kui soovite oma veebisaidi SEO-s täiel määral kasutada SSL-i, võite kaaluda SSL.com EV sertifikaadid, mis pakuvad teie külastajatele turvanäitajate kaudu suurimat kindlustunnet (näiteks see brauseri roheline riba), et hoida neid teie sisuga turvaliselt ja seotuna - ning pikemad külastused on võrdselt kõrgema asetusega.

Brauseri segatud sisuga hoiatused

SSL-iga kaitstud saitide külastajad ootavad (ja väärivad) sujuvat kaitset. Kui sait ei kaitse kogu sisu täielikult, kuvab brauser hoiatuse "segasisu". Kui teie kliendid seda hoiatust näevad, saavad nad reageerida kahel viisil. Kui nad ei võta turvalisust tõsiselt, nad ignoreerivad seda, klõpsavad läbi ja eeldavad, et kõik on korras (väga halb). Kui nad do võtke turvalisust tõsiselt, nad pööravad sellele tähelepanu, teie saidilt tagasi ja eeldavad seda sa ära võta turvalisust tõsiselt (veelgi hullem).

Lisaks blokeerivad kõik kaasaegsed brauserid pahatahtlikumad segasisu tüübid - see võib teie saidi rikkuda.

Parim lahendus on muidugi veenduda, et neid hoiatusi ja / või blokeeringuid ei toimuks, konfigureerides oma saidi õigesti ainult turvalist sisu esitama.

Miks ma näen seda hoiatust?

Segatud sisu hoiatus tähendab, et nii turvatud kui ka turvamata elemente serveeritakse lehel, mis peaks olema täielikult krüptitud. Igal lehel, mis kasutab HTTPS-aadressi, peab olema kogu sisu, mis pärineb turvatud allikast. Iga lehte, mis viitab HTTP-ressursile, peetakse ebaturvaliseks ja teie brauser tähistab seda turvariskiga.

Segatud sisuga hoiatused jagunevad kahte kategooriasse: segatud passiivne sisu ja segatud aktiivne sisu.

Passiivne segatud sisu

Passiivne sisu viitab üksustele, mida saab asendada või muuta, kuid mis ei muuda lehe muid osi - näiteks graafikat või fotot. Tõenäoliselt on kõigi segasisu hoiatuste kõige levinum põhjus see, kui (teoreetiliselt) turvaline sait on konfigureeritud tõmbama pilte turvamata allikast.

Segatud aktiivne sisu

Aktiivne sisu võib veebilehte ennast muuta. Inimese keskel rünnak võib lubada HTTPS-i lehtede HTTP-sisu kinnipüüdmist ja / või ümberkirjutamist. See muudab pahatahtliku aktiivse sisu väga ohtlikuks - kasutaja mandaate ja tundlikke andmeid võib varastada või kasutaja süsteemi installida pahavara. Näiteks võib natuke JavaScripti konto loomise lehel, mis on mõeldud kasutajate juhusliku parooli genereerimiseks, asendada koodiga, mis pakub juhusliku välimusega, kuid eelnevalt loodud, või muul viisil turvalise parooli edastamiseks salaja kolmandale osapoolele .

Aktiivset segatud sisu saab kasutada tundlike privaatsete andmete kahjustamiseks, kuid isegi üldsusele avatud veebilehed, mis tunduvad kahjutuks, võivad ikkagi suunata külastajaid ohtlikele saitidele, edastada soovimatut sisu või varastada nende kasutamiseks küpsiseid.

Kõik kaasaegsed brauserid blokeerivad vaikimisi aktiivse segatud sisu (mis võib valesti konfigureeritud saidi rikkuda)

Miks ja kuidas parandada segasisuga hoiatusi

Veebisaidi turvamine võimaldab külastajatel teid usaldada, mis on eluliselt tähtis. Kuid kogu oma saidi ebaturvalise sisu kõrvaldamisel on valepositiivsete hoiatuste kõrvaldamine veelgi suurem boonus - kui teie õigesti konfigureeritud sait on rikutud, käivitab ründaja lisatav ebaturvaline element segasisu hoiatuse, mis annab teile lisatripi tuvastamiseks ja neid probleeme lahendada.

Parim viis segase sisu probleemide vältimiseks on kogu sisu esitamine HTTP asemel HTTPS-i kaudu.

Oma domeeni jaoks esitage kogu sisu HTTPS-iga ja parandage oma lingid. Sageli on sisu HTTPS-versioon juba olemas ja see nõuab linkidele lihtsalt s-i lisamist - http:// et https://.

Muude domeenide jaoks kasutage saidi HTTPS-i versiooni, kui see on saadaval. Kui HTTPS pole saadaval, võite proovida domeeniga ühendust võtta ja küsida neilt, kas nad saavad sisu HTTPS-i kaudu kättesaadavaks teha.

Alternatiivina võimaldab suhteline URL-i kasutamine brauseril automaatselt valida HTTP või HTTPS, olenevalt sellest, millist protokolli kasutaja kasutab. Näiteks selle asemel, et linkida pildiga, kasutades linki, mille absoluutne tee on:

Sait saab kasutada suhtelist rada:

See võimaldab brauseril kumbagi automaatselt lisada http: or https: vastavalt vajadusele URL-i algusesse. (Pange tähele, et lingitud sait peab suhteliste URL-ide toimimiseks pakkuma ressurssi nii HTTP kui ka HTTPS kaudu.)

Esimene taotlusprobleem

Loodame, et siiani on see artikkel esitanud paar head argumenti segasisu vastu, ehkki isegi kui otsustate oma veebisaidi täielikult üle viia HTTPS-i, on teil siiski mõned parandused.

Kui kasutajad sisestavad brauseris teie veebisaidi URL-i, ei kirjuta nad tavaliselt protokolli nime täielikult (st https://). Loomulikult ei tea brauser, millises protokollis teie veebisaiti pakutakse, ja vaikimisi on see HTTP.

Kui teie veebisait on õigesti konfigureeritud, suunab see brauseri ümber (HTTP 301/302 vastuste kaudu) oma HTTPS eksemplarile; kuigi see tähendab, et brauserid peavad teie veebisaidi esmakordsel külastamisel täitma ühe HTTPS-päringu asemel kaks taotlust.

See võib osutuda problemaatiliseks, kuna kasutajad tajuvad mahajäämust, saades saidist halva esmamulje. Sellisena jäävad nad vähem kinni, mis võib lõpuks viia külastajate liikluse vähenemiseni.

Lisaks saavad häkkerid enne serverisse jõudmist selle esimese HTTP-päringu ära lugeda, et seda lugeda või muuta. Seda tüüpi juhtumite puhul on tavaline võrgurünnaku kutsumine SSL-i eemaldamine mis võimaldab ründajal asendada HTTPS-ühenduse kaitsmata HTTP-ühendusega.

HTTP range transporditurvalisus päästmiseks

HTTP ranget transpordi turvalisust or HSTS on katse seda probleemi lahendada. RFC 6797-s rakendatud Interneti-tehnilise töökonna (IETF) poolt on HSTS HTTPS-päis, mida veebiserverid saavad oma vastustesse lisada. See päis juhendab ühilduvaid brausereid kasutama veebisaidi külastamisel alati HTTPS-i. HSTS kehtib kõigile päringutele, sealhulgas piltidele, CSS-i stiililehtedele ja muudele veebiressurssidele.

Nagu võite arvata, peab kõigepealt brauser vaata HSTS-i päis selle austamiseks, mis tähendab, et HSTS tugineb ründajatele, kes ei suuda seda esimest HTTP-päringut kinni pidada. Seetõttu ei ole HSTS iseenesest täielik lahendus, vaid pigem lihtne lahendus SSL-i eemaldamiseks.

HSTS eellaadimine

Õnneks on Chromiumi projekt leidnud lahenduse, mida nad nimetasid HSTS eellaadimine, mis koosneb HSTS-i eellaadimisfunktsioone taotlenud veebisaitide avaliku nimekirja pidamisest. Veebisaidi külastamisel konsulteerivad Chromiumi brauserid loendiga ja kui sait leitakse seal, jätkavad nad selle kasutamist HTTPS-i kaudu (sealhulgas see esimene taotlus) olenemata varasemast ajaloost või kasutaja sisestatud andmetest.

Seetõttu saab eellaadimine parandada teie veebisaidi toimivust ja turvalisust, eemaldades esialgse HTTP-taotluse. Lisaks võib see kaudselt parandada teie saidi SERP-i reitingut ja kasutajakogemust.

Kõik suuremad brauserid (Google'i Chrome, Microsofti IE / Edge, Apple'i Safari, Mozilla's Firefox ja Opera) konsulteerivad ka Chromiumi HSTS-i eellaadimisloendiga, mis tähendab, et selle loendiga liitumine pakub külastajatele eellaadimise eeliseid, olenemata sellest, millist brauserit nad kasutavad.

Meil oleks aga kahju, kui me ei mainiks, et HSTS-i eellaadimisloendi lahenduse mastaapsuse pärast on muresid - see ei saa kõiki veebisaite praktilise suuruse ja arvutusliku keerukuse piirangute tõttu hõlmata ning seetõttu võib sisenemine muutuda üha raskemaks aja möödudes ja HSTS-i eellaadimine muutub laiemalt omaks.

Kuidas saab liituda?

Kui olete huvitatud HSTS-i eellaadimisloendiga liitumisest, pidage meeles, et teie veebisait peab järgima teatavaid reegleid. Chromiumi projekt on avaldanud nende projekti veebisaidiga liituda soovivatele veebisaitidele esitamisnõuete loendi. Nõuded on lisatud sõnasõnaliselt järgmisse loendisse, kuid lisateavet leiate HSTS-ist RFC 6797.

HSTS-i eellaadimiste loendisse vastuvõtmiseks peab teie veebisait:

1. Esitage kehtiv sertifikaat.
2. Kui kuulate pordi 80 kaudu, suunake ümber ühelt hostilt HTTP-lt HTTPS-i.
3. Teenindage kõiki alamdomeene HTTPS-i kaudu. Eelkõige peate toetama HTTPS-i www alamdomeen, kui selle alamdomeeni jaoks on olemas DNS-kirje.
4. Teenige RFT 6797-ga ühilduvat HSTS-päist HTTPS-päringute põhidomeenis:
   • . max-age peab olema vähemalt 31536000 sekundit (1 aasta).
   • . includeSubDomains direktiiv tuleb täpsustada.
   • . preload direktiiv tuleb täpsustada.
5. Kui pakute täiendavat ümbersuunamist oma HTTPS-i saidilt, peab see ümbersuunamine toimuma Ka omada ühilduvat HSTS-i päist (nagu ka lehte, kuhu see ümber suunab).

Siin on näide kehtivast HSTS-päisest.

Range transpordi turvalisus: maksimaalne vanus = 63072000; includeSubDomains; eellaadimine

Saate oma veebisaidi sobivust testida, külastades eellaadide loendi veebisaiti ja sisestades sisestuskasti oma domeeni. Sealne veebirakendus osutab, millised probleemid (kui neid on) peate parandama.

Kahjuks ei võimalda tänapäevaste veebisaitide keerukus välja mõelda ühe suurusega serverikonfiguratsiooni, mille HSTSi eellaadimine selles artiklis hõlmata. Kolmandate osapoolte või muude kohandatud komponentidega võib esineda tööaja probleeme, mis tuleb individuaalselt lahendada.

Kuigi Chromiumi projekt on eellaadimise veebisaidile lisanud mõned juurutamissoovitused, aitame me alati hea meelega oma kliente oma kommunikatsiooniturbe parandamisel. Kirjutage meile lihtsalt e-kiri aadressil support@ssl.com ja ekspert arutleb hea meelega parimal viisil teie turvalisuse vajaduste rahuldamiseks.

Järeldus

HTTPSist on saamas vaikimisi veebisuhtlusprotokoll ja selle täielikule pühendumisele võib olla ainult positiivne mõju saidiomanikele ja külastajatele. Tarbetu probleemide (ja õnnetute kasutajate) vältimiseks soovitame oma veebisaitidelt eemaldada segatud sisu.

Nagu alati, tänan teid valiku eest SSL.com, kus me usume, et turvalisem Internet on parem Internet.