Her Yerde HTTPS: SEO'yu Geliştirmek İçin Karışık İçeriği Kaldırma

Giriş

Son yıllarda, Web'i ve onu yönlendiren sektörlerin (tarayıcılar, arama motorları, vb.) Kullanıcı güvenliğini daha ciddiye almaya başladığını gördük. Chrome şimdi kullanıcıları HTTP web sitelerine karşı uyarma daha fazla tarayıcı takip etmeye hazırken Google Arama, arama motoru sıralamasında artış sağladığını onayladı. HTTPS web siteleri.

Bu tür gelişmeler, web sitesi sahiplerinin önemli bir bölümünü sunucularını eski, güvenli olmayan HTTP'den daha güvenli alternatif HTTPS'ye taşımaya motive etti. (HTTPS, kullanıcıları çoğu ağ saldırısından korumak için sunucuların SSL sertifikaları aracılığıyla doğrulanmasını gerektirdiği için daha güvenli kabul edilir.)

Ancak, web sitelerinin çoğu HTTPS'yi yalnızca oturum açma veya POST istekleri gibi en kritik bileşenleri için uygulamıştır, ancak yine de diğer “kritik olmayan” işlevler için HTTP kullanabilir.

HTTPS'nin ilk günlerinde bu mantıklıydı, çünkü şifreli bağlantılar gerçekleştirmek zorunda olduğu için daha hesaplı olarak pahalı tokalaşma her yeni bağlantı için. Dahası, o zamanlar yaygın olarak kullanılan birçok web geliştirme platformu, kitaplığı ve ortamı HTTPS'ye hazır değildi - bu, yöneticilerin ve geliştiricilerin gece geç uygulama çökmeleri veya belirsiz çalışma zamanı hataları şeklinde bitmeyen baş ağrılarına neden olan bir gerçek.

Elbette bu artık doğru değil - aslında, bu makalenin tartışacağı gibi, değil için HTTPS kullanma herşey web sitenizin bağlantıları aslında işletmeniz için kötüdür.

Karışık içerik

Tüm içeriklerini HTTPS üzerinden sunmayan web sitelerine denir karma içerik web siteleri. Akademik kâğıt 2015 yılında yayınlanan, Alexa'nın ilk 43 örneğinin% 100,000'ünden fazlasının en az bir tür karışık içerik sunduğunu buldu.

Bu büyük bir şey gibi görünmese de, karışık içerik kullanıcılar için oldukça tehlikeli olabilir, ancak web siteleri üzerinde de olumsuz etkileri olabilir.

Güvenlik sorunları

Web sitenizin tamamı için HTTPS kullanmanın en önemli nedeni güvenliktir. Bilgisayar korsanlarının ihtiyaç duyduğu tek bir korumasız HTTP bağlantısı. Ortadaki adam (MITM) saldırganları ziyaretçilerinizin bilgisayarlarına kimlik bilgilerini ve oturumları çalmak, hassas veriler elde etmek veya tarayıcı istismarlarını başlatmak ve kötü amaçlı yazılım yüklemek için sayfanızdaki herhangi bir HTTP içeriğini değiştirebilir.

Web sitenizden ödün vermeniz doğal olarak kullanıcılarınızı güvensiz hale getirecek ve gelecekte bundan kaçınarak çevrimiçi itibarınıza etkili bir şekilde zarar verecektir.

Hem Firefox hem de Chrome başladı varsayılan olarak karışık içeriği engellemek için kullanıcıların HTTP üzerinden manuel olarak içerik yüklemeyi seçmesine olanak tanır. Bununla birlikte, karışık içerik bir güvenlik riski olduğundan, her iki tarayıcı da kullanıcılara karışık bir içerik uyarısı gösterir ve bu da web sitenizin itibarını olumsuz yönde etkileyebilir.

Performans sorunları

Güvenliğin yanı sıra, HTTP / 2 endüstri tarafından çok sayıda performans ve güvenlik yükseltmesi Web'e getirildi.

HTTP / 2'den bu yana performans artışı karşı sezgisel görünmesine rağmen sadece çalışır şifrelenmiş HTTPS bağlantıları üzerinden, protokol tarayıcıların tüm iletişimleri için bir HTTPS web sunucusuyla tek bir şifreli bağlantı kullanmasına izin verir.

Aynı bağlantının tekrar kullanılması, tekrar tekrar yeni bağlantılar kurarak yüklenen yükü ortadan kaldırır (yani el sıkışması). Bu, şifrelenmiş HTTPS bağlantılarından karışık içeriğe sahip bir sitede şifrelenmemiş HTTP'ye atlamanın, aslında tek bir HTTPS bağlantısı kullanarak tamamen korunan bir siteyi ziyaret etmekten daha yavaş ve daha fazla kaynak gerektirdiği anlamına gelir.

HTTP / 2 ayrıca 0-RTT oturum sürdürme modu, tarayıcıların daha önce ziyaret ettikleri HTTPS web sitesiyle yalnızca tek bir istek (tam bir el sıkışma yerine) kullanarak duraklatılmış bir oturuma devam etmesini sağlar. Bu, HTTPS'nin tüm avantajlarını sunarken, HTTP / 2 yeniden başlatmayı en azından şifrelenmemiş bir HTTP bağlantısı kadar hızlı hale getirir. Karışık içerik sunmak, web sitenizin bundan veya HTTP / 2'nin diğer harika özelliklerinden tam olarak yararlanamayacağı anlamına gelir.

Her iki durumda da HTTP / 2, ziyaretçinizin sitenize bağlanma hızını artırır ve hız önemlidir. Yapılan çalışmalar yıllar içinde yanıt verebilirlik ve sayfa yükleme hızının kritik kullanıcı arayüzü tasarım gereksinimleri olduğunu göstermiştir. Bir web sitesinin yanıt verme süresi ne kadar yavaşsa, kullanıcıların etkileşimde kalma olasılıkları o kadar az olur ve kullanıcı etkileşimi web sitenizin kullanıcı deneyimini (ve dolayısıyla dönüşüm oranlarınızı) doğrudan etkiler.

Karışık içerik, web sitenizde kullanılan temel web teknolojileri düzeyindeki performansı da etkileyebilir. Tarayıcılar şimdi javascript özelliklerini sınırla Bilgisayar korsanları tarafından kötü amaçlı amaçlarla kötüye kullanılabilecekleri için Hizmet çalışanları ve yalnızca güvenli bağlamlara yönelik push bildirimleri gibi. Bu da, web sitenizin karma içerik sunarken bu teknolojilerin hiçbirinden yararlanamayacağı anlamına gelir.

SEO sorunları

Arama motoru optimizasyonu (SEO) on-line iş pazarlamacılar ekmek ve tereyağı olduğunu. SEO bir web sitesinin sıralamasını iyileştirme pratiğini ifade eder. arama motoru sonuç sayfası (SERP), web sitesinin trafiğinin hacmini doğrudan etkiler.

Google, arama sonucu sıralama algoritmasının HTTPS üzerinden sunulan web sitelerine küçük bir sıralama artışı sağladığını doğruladı. Artış gerçek zamanlı ve URL başına olduğundan, bir web sitesinin tamamını HTTPS üzerinden sunmak, tüm web sitesi için bir SEO artışı ile sonuçlanacaktır (yalnızca HTTPS üzerinden sunulan URL'ler yerine). Verilen bu sıralama sinyali artışı, kaliteli içerik veya kullanıcı trafiği gibi diğerlerine kıyasla oldukça hafiftir, yine de karışık içeriği kaldırmaya yönelik yatırımınızı ödüllendirir.

Google ayrıca son zamanlarda açıkladı sıralamaya karar verirken o sayfa yükleme hızı ve genel web sitesi performansı (ağır) dikkate alınır. Bu, HTTP / 2'nin performans optimizasyonlarının ve karışık içeriğin kaldırılmasının, web sitenizin web üzerindeki görünürlüğünü artırmak için birlikte çalışabileceği anlamına gelir.

Son olarak, web sitenizin SEO'sunda SSL'den tam olarak yararlanmak istiyorsanız, SSL.com'un EV sertifikaları, ziyaretçilerinizin güvenliğini ve içeriğinizle etkileşimde kalmalarını sağlamak için güvenlik göstergeleri (tarayıcıdaki yeşil çubuk gibi) aracılığıyla en yüksek güvenceyi sunan ve daha uzun ziyaretler daha yüksek sıralamalara eşittir.

Tarayıcı Karışık İçerik Uyarıları

SSL ile korunan sitelerin ziyaretçileri kesintisiz koruma bekler (ve hak eder). Bir site tüm içeriği tam olarak korumadığında, tarayıcı bir "karışık içerik" uyarısı görüntüler. Müşterileriniz bu uyarıyı gördüğünde iki yoldan birine tepki verebilirler. Eğer onlar değil mi güvenliği ciddiye alırlar, görmezden gelirler, tıklarlar ve her şeyin yoluna gireceğini varsayarlar (çok kötü). Eğer onlar do güvenliği ciddiye alırsanız, sitenize geri dönecek ve sitenize geri döneceklerdir. sen güvenliği ciddiye almayın (daha da kötüsü).

Dahası, tüm modern tarayıcılar, daha kötü niyetli karma içerik türlerini engeller ve bunu yapmak sitenizi bozabilir.

Elbette en iyi çözüm, sitenizi yalnızca güvenli içerik sunacak şekilde doğru şekilde yapılandırarak bu uyarıların ve / veya engellemelerin ilk etapta gerçekleşmemesini sağlamaktır.

Bu Uyarıyı Neden Görüyorum?

Karma içerik uyarısı, tamamen şifrelenmesi gereken bir sayfada hem güvenli hem de güvenli olmayan öğelerin sunulduğu anlamına gelir. HTTPS adresi kullanan tüm sayfaların tüm içeriği güvenli bir kaynaktan gelmelidir. HTTP kaynağına bağlanan tüm sayfalar güvenli değildir ve tarayıcınız tarafından güvenlik riski olarak işaretlenir.

Karışık içerikli uyarılar iki kategoriye ayrılır: pasif karışık içerik ve karışık aktif içerik.

Karışık Pasif İçerik

Pasif içerik, değiştirilebilen veya değiştirilebilen ancak sayfanın diğer bölümlerini değiştiremeyen öğeleri ifade eder - örneğin bir grafik veya fotoğraf. Muhtemelen tüm karışık içerik uyarılarının en yaygın nedeni, (teorik olarak) güvenli bir sitenin, görüntüleri güvenli olmayan bir kaynaktan çekecek şekilde yapılandırılmasıdır.

Karışık Aktif İçerik

Aktif içerik, web sayfasının kendisini değiştirebilir. Ortadaki adam saldırısı, herhangi bir HTTPS sayfasındaki HTTP içeriği talebinin durdurulmasına ve / veya yeniden yazılmasına izin verebilir. Bu, kötü amaçlı aktif içeriği çok tehlikeli hale getirir - kullanıcı kimlik bilgileri ve hassas veriler çalınabilir veya kullanıcının sistemine kötü amaçlı yazılım yüklenebilir. Örneğin, kullanıcıların rastgele bir şifre oluşturmalarına yardımcı olmak için tasarlanmış bir hesap oluşturma sayfasındaki bir JavaScript parçası, bunun yerine rastgele görünen ancak önceden oluşturulmuş bir kod sağlayan bir kodla değiştirilebilir veya başka bir şekilde güvenli bir şifreyi üçüncü bir tarafa gizlice teslim edebilir. .

Aktif karışık içerik hassas özel verilerin güvenliğini aşmak için kullanılabilir, ancak zararsız görünen halka açık web sayfaları bile ziyaretçileri tehlikeli sitelere yönlendirebilir, istenmeyen içerik sunabilir veya istismar için çerezleri çalabilir.

Tüm modern tarayıcılar varsayılan olarak etkin karışık içeriği engeller (yanlış yapılandırılmış bir siteyi kırabilir)

Karma İçerik Uyarılarını Neden ve Nasıl Çözer?

Web sitenizin güvenliğini sağlamak, ziyaretçilerinizin size güvenmesini sağlar ve bu hayati önem taşır. Bununla birlikte, sitenizdeki tüm güvenli olmayan içeriği ortadan kaldırmak, yanlış pozitif uyarıları ortadan kaldırmak için daha da büyük bir avantaj sağlar - doğru yapılandırılmış siteniz ele geçirilirse, bir saldırganın eklediği güvenli olmayan herhangi bir öğe, karma içerik uyarısını tetikleyerek size tespit etmeniz için fazladan bir tuzak teli sağlar. ve bu sorunları ele alın.

Yine, karışık içerik sorunlarından kaçınmanın en iyi yolu, tüm içeriği HTTP yerine HTTPS aracılığıyla sunmaktır.

Kendi alanınız için tüm içeriği HTTPS olarak sunun ve bağlantılarınızı düzeltin. Genellikle, içeriğin HTTPS sürümü zaten mevcuttur ve bu yalnızca bağlantılara bir "s" eklemeyi gerektirir - http:// için https://.

Diğer alanlar için, varsa sitenin HTTPS sürümünü kullanın. HTTPS kullanılamıyorsa, etki alanıyla iletişim kurmayı deneyebilir ve onlara içeriği HTTPS aracılığıyla kullanılabilir hale getirip getiremeyeceklerini sorabilirsiniz.

Alternatif olarak, "göreli URL'ler" kullanmak, kullanıcının kullandığı protokole bağlı olarak tarayıcının otomatik olarak HTTP veya HTTPS'yi seçmesine izin verir. Örneğin, "mutlak yol" ile bir bağlantı kullanarak bir resme bağlanmak yerine:

Site göreli bir yol kullanabilir:

Bu, tarayıcının otomatik olarak http: or https: URL'nin başlangıcına kadar ayarlayın. (Bağlantı verilen sitenin, göreli URL'lerin çalışması için kaynağı hem HTTP hem de HTTPS üzerinden sunması gerekeceğini unutmayın.)

İlk istek sorunu

Web sitenizi tamamen HTTPS'ye geçirmeye karar verseniz bile, hala yapabileceğiniz bazı iyileştirmeler olsa da, bu noktaya kadar bu makalenin karışık içeriğe karşı birkaç iyi argüman oluşturduğunu umuyoruz.

Kullanıcılar web sitenizin URL'sini bir tarayıcıya yazdığında, genellikle hiçbir zaman protokol adını tam olarak yazmazlar (ör. https://). Doğal olarak, tarayıcı web sitenizin hangi protokol altında sunulduğunu bilmez ve varsayılan olarak HTTP'dir.

Web siteniz doğru yapılandırılmışsa, tarayıcıyı (HTTP 301/302 yanıtları aracılığıyla) HTTPS örneğine yönlendirir; ancak bu, tarayıcıların web sitenizi ilk ziyaret ettiklerinde tek bir HTTPS isteği yerine iki istek gerçekleştirmesi gerektiği anlamına gelir.

Bu sorunlu olabilir, çünkü kullanıcılar gecikmeyi algılayabilir ve sitenin kötü bir ilk izlenimini edinebilir. Bu nedenle, sonuçta daha az ziyaretçi trafiğine yol açabilecek şekilde yapışmaları daha az olası olacaktır.

Ayrıca, bilgisayar korsanları sunucuya ulaşmadan önce okumak veya değiştirmek için ilk HTTP isteğini kesebilir. Bu tür durumlar için yaygın bir durum, SSL sıyırma Bu, saldırganın HTTPS bağlantısını korumasız bir HTTP bağlantısıyla değiştirmesine olanak tanır.

HTTP Sıkı Aktarım Güvenliği kurtarmaya

HTTP Sıkı Aktarım Güvenliği or HSTS bu sorunu çözme girişimidir. RFC 6797'de İnternet Mühendisliği Görev Gücü (IETF) tarafından uygulanan HSTS, web sunucularının yanıtlarına dahil edebileceği bir HTTPS üst bilgisidir. Bu başlık, uyumlu tarayıcılara bir web sitesini ziyaret ederken her zaman HTTPS kullanmaları talimatını verir. HSTS resimler, CSS stil sayfaları ve diğer tüm web kaynakları dahil tüm istekler için geçerlidir.

Tahmin edebileceğiniz gibi, önce tarayıcı görmek HSTS başlığını onurlandırmak için kullanır; bu, HSTS'nin saldırganların ilk HTTP isteğini yakalayamamasına dayandığı anlamına gelir. Sonuç olarak, HSTS kendi başına tam bir çözüm değil, SSL soymaya yönelik basit bir çözümdür.

HSTS önyükleme

Neyse ki, Chromium projesi, adlandırdıkları bir çözüm buldu. HSTS önyüklemeHSTS önyükleme işlevselliği talep eden web sitelerinin herkese açık bir listesini tutmayı içerir. Bir web sitesini ziyaret ederken, Chromium tarayıcıları listeye danışır ve site orada bulunursa, önceki geçmişe veya kullanıcı girdisine bakılmaksızın HTTPS üzerinden (bu ilk istek dahil) iletişim kurmaya devam eder.

Sonuç olarak, önyükleme, ilk HTTP isteğini kaldırarak hem web sitenizin performansını hem de güvenliğini artırabilir. Ayrıca, sitenizin SERP sıralamasını ve kullanıcı deneyimini dolaylı olarak artırabilir.

Tüm büyük tarayıcılar (Google'ın Chrome'u, Microsoft'un IE / Edge'i, Apple'ın Safari'si, Mozilla'nın Firefox ve Operası) Chromium'un HSTS önyükleme listesine de danışır.

Bununla birlikte, HSTS önyükleme listesi çözümünün ölçeklenebilirliği hakkında endişeler olduğundan bahsetmemiş olsaydık, ihmalkar oluruz - Pratik boyut ve hesaplama karmaşıklığı sınırlamaları nedeniyle İnternet'teki tüm web sitelerini içeremez ve sonuç olarak giriş giderek daha zor hale gelebilir zaman geçtikçe ve HSTS ön yüklemesi daha geniş bir şekilde benimsenir.

Nasıl katılabilirim?

HSTS önyükleme listesine katılmak istiyorsanız, web sitenizin belirli kurallara uyması gerektiğini lütfen unutmayın. Chromium projesi, projelerinin web sitesine katılmak isteyen web siteleri için gönderim gereksinimleri listesini yayınladı. Gereksinimler aşağıdaki listede yer almaktadır, ancak HSTS'de daha fazla ayrıntı bulabilirsiniz. RFC 6797.

HSTS önyükleme listesinde kabul edilmek için web siteniz:

1. Geçerli bir sertifika sunun.
2. 80 numaralı bağlantı noktasını dinliyorsanız, aynı ana bilgisayarda HTTP'den HTTPS'ye yönlendirin.
3. Tüm alt alanları HTTPS üzerinden sunun. Özellikle, HTTPS'yi www o alt alan için bir DNS kaydı varsa.
4. HTTPS istekleri için temel etki alanında RFC 6797 uyumlu HSTS üstbilgisi sunar:
   • The max-age en az 31536000 saniye (1 yıl) olmalıdır.
   • The includeSubDomains yönergesi belirtilmelidir.
   • The preload yönergesi belirtilmelidir.
5. HTTPS sitenizden ek bir yönlendirme sunuyorsanız, bu yönlendirme Ayrıca uyumlu bir HSTS başlığına sahip olmalıdır (yönlendirdiği sayfa gibi).

Geçerli bir HSTS üstbilgisi örneği.

Katı-Taşımacılık-Güvenlik: max-age = 63072000; includeSubDomains; preload

Önyükleme listesi web sitesini ziyaret edip alan adınızı giriş kutusuna girerek web sitenizi uygunluk açısından test edebilirsiniz. Orada web uygulaması düzeltmeniz gereken sorunları (varsa) gösterecektir.

Ne yazık ki, modern web sitelerinin karmaşıklığı, HSTS önyüklemesinin bu makaleye dahil edilmesi için tek boyutlu bir sunucu yapılandırması oluşturmasına izin vermez. Üçüncü taraf veya ayrı ayrı çözülmesi gereken diğer özel bileşenlerle ilgili çalışma zamanı sorunları olabilir.

Chromium projesi önyükleme web sitesine bazı dağıtım önerileri eklemesine rağmen, müşterilerimizin iletişim güvenliğini geliştirmelerine yardımcı olmaktan her zaman memnuniyet duyarız. Bize e-posta gönderin support@ssl.com ve bir uzman güvenlik ihtiyaçlarınız için en iyi yolu tartışmaktan mutluluk duyacaktır.

Sonuç

HTTPS varsayılan Web iletişim protokolü haline geliyor ve tam olarak taahhüt etmek site sahipleri ve ziyaretçiler için sadece olumlu etkilere sahip olabilir. Gereksiz sorunları (ve mutsuz kullanıcıları) önlemek için web sitelerinizdeki karışık içerikleri kaldırmanızı öneririz.

Her zaman olduğu gibi, seçtiğiniz için teşekkürler SSL.comdaha güvenli bir İnternet'in daha iyi bir İnternet olduğuna inanıyoruz.