Mixed content: Mixed content — Web security

Navigator. sendBeacon ( атрибут url )

Другие типы ресурсов, такие как веб-шрифты и рабочие файлы, могут считаться активным смешанным содержимым, как и в Chrome.

Большинство браузеров предотвращают загрузку смешанного активного содержимого , а некоторые также блокируют смешанное содержимое дисплея .

Загрузка локально доставляемых смешанных ресурсов

Браузеры могут

• Firefox 55 и более поздние версии разрешают загрузку смешанного содержимого на петлевой адрес http://127.0.0.1/ (см. ошибку Firefox 6),
• Firefox 84 и более поздние версии позволяют загружать смешанный контент на http://localhost/ и http://*.localhost/ URL-адреса, так как теперь они сопоставлены с петлевыми адресами (см. ошибку Firefox 1220810).
• Chrome также допускает смешанный контент на http://127.0.0.1/ и http://localhost/.
• Safari не допускает смешанный контент.

Обновление ресурсов со смешанным отображением

Браузеры могут поддерживать автоматическое обновление запросов на отображение/медиаконтент с HTTP на HTTPS на защищенных страницах (это предотвращает условия смешанного содержимого, при которых одно содержимое загружается безопасно, а другое содержимое небезопасно).

Firefox поддерживает эту функцию в качестве экспериментальной. Его можно включить с помощью настройки security.mixed_content.upgrade_display_content ).

• Если обновление завершается сбоем (из-за того, что хост носителя не поддерживает HTTPS), носитель не загружается.
• Предупреждения консоли сообщают об успешном обновлении содержимого.
• Для получения дополнительной информации см. Экспериментальные функции в Firefox > Обновление содержимого смешанного отображения.

Веб-консоль Firefox отображает предупреждающее сообщение о смешанном содержимом в панели «Сеть», когда на странице вашего веб-сайта возникает эта проблема. Ресурс со смешанным содержимым, который был загружен через HTTP, будет отображаться красным вместе с текстом «смешанный контент», который ссылается на эту страницу.

Помимо обнаружения этих предупреждений в веб-консоли, для сообщения о проблемах можно использовать политику безопасности содержимого (CSP). Вы также можете использовать онлайн-сканер, такой как SSL-check или Missing Padlock, который будет рекурсивно проверять ваш сайт и находить ссылки на небезопасный контент.

Начиная с Firefox 23, смешанный активный контент блокируется по умолчанию (и смешанный отображаемый контент можно заблокировать, установив предпочтение). Чтобы веб-разработчикам было проще находить ошибки смешанного содержимого, все заблокированные запросы смешанного содержимого регистрируются на панели «Безопасность» веб-консоли, как показано ниже:

.

Чтобы исправить ошибку этого типа, все запросы к содержимому HTTP должны быть удалены и заменены содержимым, обслуживаемым через HTTPS. Некоторые распространенные примеры смешанного содержимого включают файлы JavaScript, таблицы стилей, изображения, видео и другие медиафайлы.

Примечание: Консоль отобразит сообщение об успешном обновлении содержимого смешанного отображения с HTTP на HTTPS (вместо предупреждения о «Загрузка содержимого смешанного (небезопасного) отображения»).

• Смешанное содержимое — черновик редактора W3C
• Как исправить сайт с заблокированным смешанным содержимым

Обнаружили проблему с содержанием этой страницы?

• Отредактируйте страницу на GitHub.
• Сообщить о проблеме с содержимым.
• Посмотреть исходный код на GitHub.

Хотите принять участие?

Узнайте, как внести свой вклад.

Последний раз эта страница была изменена 26 февраля 2023 участниками MDN.

Смешанное содержимое

1. Введение

Этот раздел не является нормативным.

Когда пользователь успешно загружает веб-страницу с example.com через безопасный канал (например, HTTPS), пользователю гарантируется, что никакой объект между пользовательским агентом и example.com подслушивал или подделка данных, передаваемых между ними. Однако эта гарантия является ослаблен, если веб-страница загружает подресурсы, такие как скрипт или изображения, через небезопасное соединение. Например, небезопасно загруженный скрипт может позволить злоумышленник может прочитать или изменить данные от имени пользователя. Ненадежно загруженный изображение может позволить злоумышленнику сообщить пользователю неверную информацию (например, сфабрикованная биржевая диаграмма), изменить состояние на стороне клиента (например, установить cookie) или побудить пользователя совершить непреднамеренное действие (например, изменить надпись на кнопке).

В этой спецификации подробно описывается, как пользовательский агент может уменьшить эти риски путем блокирование определенных типов смешанного контента и более строгое поведение в некоторых контексты.

Однако более ранние версии этой спецификации не полностью защищали конфиденциальность и целостность данных пользователей. Небезопасный контент, такой как изображения, аудио и видео в настоящее время могут быть загружены по умолчанию в безопасных контекстах. Защищенные страницы могут даже инициировать небезопасные загрузки, которые полностью выходят из песочницы пользовательского агента.

Кроме того, пользователи не имеют четкого индикатора безопасности при загрузке смешанного содержимого. Когда веб-страница загружает смешанный контент, браузеры отображают промежуточный индикатор безопасности (например, удаление значок замка), что не дает пользователям четкого указания, следует ли им доверять страница.

Таким образом, эта спецификация была обновлена, чтобы предоставить пользователям лучшие гарантии безопасности и конфиденциальности, а также лучший пользовательский интерфейс безопасности при минимизации поломка. Вместо того, чтобы рекомендовать браузерам просто строго блокировать весь смешанный контент, эта спецификация рекомендует автоматическое обновление смешанного контента :

• Смешанное содержимое, которое пользовательские агенты еще не блокируют, должно быть автоматически обновлено до безопасного транспорта.

• Если запрос не может быть автоматически обновлен, он будет заблокирован.

Автообновление позволяет избежать загрузки небезопасных ресурсов на безопасный веб-страниц, сводя к минимуму усилия разработчиков, необходимые для предотвращения поломки.

В этой спецификации рекомендуется только автоматическое обновление типов подресурсов со смешанным содержимым. которые в настоящее время не заблокированы по умолчанию, и не рекомендует автообновление типов контента которые уже заблокированы. Это сделано для того, чтобы свести к минимуму количество изменений, видимых в Интернете; мы только хотим автоматически обновлять контент, если он продвигает нас к цели блокировки всего смешанного контента по умолчанию.

В этой спецификации также явно представлена ​​концепция смешанных загрузок . смешанный загрузка — это ресурс, который пользовательский агент обрабатывает как загрузку, инициированную безопасным контексте, но загружается через небезопасное соединение. Пользовательские агенты должны блокировать смешанные загрузки потому что они могут выйти из песочницы пользовательского агента (в случае исполняемого файла) или содержать конфиденциальную информацию (например, загруженную банковскую выписку). Это особенно вводит в заблуждение, потому что пользовательские агенты обычно указывают пользователю, что он находится на защищенной странице, при инициализации и завершение смешанной загрузки.

2. Ключевые понятия и терминология

смешанное содержимое

Запрос представляет собой смешанный контент , если его URL-адрес не является потенциально надежным URL-адресом [SECURE-CONTEXTS] и контекст, ответственный за его загрузка запрещает смешанные контексты безопасности (см. §4.3 Запрещают ли настройки смешанные контексты безопасности? нормативное определение последнего).

Ответ представляет собой смешанный контент , если это неаутентифицированный ответ, и контекст ответственный за загрузку требует запрещает смешанные контексты безопасности.

Внутри контекста, ограничивающего смешанное содержимое (например, https://secure.example.com/):

1. Запрос скрипта http://example.com/script.js смешанный контент . Поскольку запросы сценариев можно заблокировать, пользовательский агент скорее вернет сетевую ошибку. чем загрузка ресурса.

2. Запрос изображения http://example.com/image.png смешанный контент . Поскольку запросы изображений можно обновлять, пользовательский агент может переписать URL-адрес как https://example.com/image.png , иначе он будет заблокирован. Загрузка.

Примечание. «Смешанное содержимое» изначально было определено в разделе 5.3 [WSC-UI]. Этот документ обновляет это первоначальное определение.

Примечание. [XML] также определяет несвязанное «смешанное содержимое». концепция. Это потенциально сбивает с толку, но, учитывая, что термин почти повсеместное использование в контексте безопасности между пользовательскими агентами более чем десятилетие, практический риск путаницы кажется низким.

ответ без аутентификации

Мы знаем апостериори , что ответ ( ответ ) не прошел проверку подлинности, если URL-адрес ответа не является потенциально заслуживающим доверия URL-адресом.

вложение документа

Учитывая документ A , вложение документ из A — это документ-контейнер контекста просмотра A [HTML].

смешанная загрузка

Смешанная загрузка — это ресурс, который пользовательский агент обрабатывает как загрузку, который был инициирован безопасным контекстом, но загружается через небезопасное соединение.

априорно аутентифицированный URL-адрес эквивалентен потенциально надежному URL-адресу [SECURE-CONTEXTS].

3. Категории контента

В идеальном мире каждый пользовательский агент должен блокировать все смешанные содержание без исключения. К сожалению, в сегодняшней ситуации это нецелесообразно. Интернет; пользовательский агент должен быть более тонким в своих ограничениях, чтобы избежать ухудшение опыта на значительном количестве веб-сайтов.

Имея это в виду, мы разделили смешанный контент на две категории: §3. 1 Обновляемый контент и §3.2 Блокируемый контент.

3.1. Обновляемый контент

Обновляемый контент ранее назывался опционально блокируемым в более ранние версии этой спецификации.

Смешанное содержимое может быть обновлено , когда риск его использования в качестве смешанного содержимого перевешивается риском нарушая значительные части сети. Это может быть связано с тем, что смешанное использование типа ресурса достаточно высока, а также потому, что ресурс сам по себе является малорисковым. Тот факт, что эти типы ресурсов могут быть обновлены, это не значит, что их сейф просто так они менее катастрофически опасны, чем другие типы ресурсов. Например, изображения и значки часто являются центральными элементами пользовательского интерфейса в интерфейсе приложения. Если злоумышленник изменил Значки «Удалить электронную почту» и «Ответить» окажут реальное влияние на пользователей.

В эту категорию входят:

• Запросы, инициатором которых является пустая строка, а адресатом является " image ".

  Примечание. Это соответствует большинству изображений, загружаемых через img (включая документы SVG, загруженные как изображения, так как они заблокированы от выполнения скрипта или получения подресурсов) и CSS (фоновое изображение, граничное изображение и т. д.). Он не включает элементы img , которые используют srcset или изображение.

• Запросы, адресатом которых является « видео ».

  Примечание. Это соответствует видео, загруженному через video и source .

• Запросы, пункт назначения которых " аудио ".

  Примечание. Это соответствует аудио, загруженному через audio и source .

Мы дополнительно ограничиваем эту категорию в §4.4 Следует ли блокировать запрос на получение как смешанный контент? путем принудительного отказа любого CORS-поддерживаемого запрос. Это означает, например, что изображения со смешанным содержимым, загруженные через , будут заблокированы. Это хороший пример общего принципа, согласно которому содержание относится к этому категория только , когда он слишком широко используется, чтобы его можно было сразу заблокировать. Рабочая группа намеревается выделить больше блокируемых подмножеств с течением времени.

3.2. Блокируемый контент

Любой смешанный контент, который не может быть обновлен, как определено выше, считается блокируемым . Типичные примеры такого рода содержимое включает сценарии, данные плагинов, данные, запрошенные через XMLHttpRequest и так далее.

Примечание. Запросы навигации могут быть нацелены на контексты просмотра верхнего уровня; это не считается смешанным содержанием. См. §4.4 Следует ли блокировать запрос на получение как смешанный контент? для деталей.

Примечание. Обратите внимание, что запросы, сделанные от имени подключаемого модуля, блокируются. Мы признаем, однако, что пользовательские агенты не всегда могут выполнять эти запросы. Плагины NPAPI, например, часто имеют прямой доступ к сети и, как правило, могут полностью обойти пользовательский агент. Мы рекомендуем что пользовательские агенты блокируют эти запросы, когда это возможно, и что поставщики плагинов реализуют смешанные самостоятельно проверять содержимое, чтобы снизить риски, описанные в этом документе.

4. Алгоритмы

1" data-lt="Upgrade a mixed content request to a potentially trustworthy URL, if appropriate"> 4.1. Обновите смешанный контент запрос до потенциально надежного URL-адреса, если это уместно

Примечание. Спецификация Fetch будет подключаться к этому алгоритму для обновления смешанный контент на HTTPS.

Учитывая запрос Request request , этот алгоритм будет переписан его URL-адрес, если запрос считается обновляемым смешанным контентом, по следующему алгоритму:

1. Если выполняется одно или несколько из следующих условий, возврат без изменения запрос :
   1. URL-адрес запроса является потенциально надежным URL-адресом.
   2. запрос URL-адрес узла является IP-адресом.
   3. §4.3 Запрещают ли настройки смешанные контексты безопасности? возвращает " Не ограничивает смешанную безопасность Содержимое " при применении к запросу клиента.
   4. запрос пункт назначения не " изображение ", аудио ", или " видео ".
   5. запрос пункт назначения " изображение " а инициатором запроса является « imageset ».

      Примечание. По историческим причинам « imageset » не обновляется. До некоторых типы обновляемого смешанного контента, спецификация разделила смешанный контент на блокируемый и необязательно блокируемый, причем блокируемый предпочтительнее для любого типа смешанного контента это не было распространено. imageset » был частью прежнего, и когда были добавлены обновления, было решено не обновлять какой-либо контент, который был ранее определяется как блокируемый.

2. Если запрашивает , схема URL-адреса http , установите схему URL-адреса запроса на https и вернитесь.

   Примечание. Для [url] мы не изменяем порт, поскольку он будет установлен в значение null, когда схема http и интерпретируется как 443 после изменения схемы на https

4.2. Модификации предыдущих алгоритмов

Примечание. Этот раздел включает модификации алгоритмов в более ранних версиях. версии спецификации — игнорировать различие между необязательно блокируемым и блокируемым смешанным контентом, поскольку все необязательно блокируемый смешанный контент теперь обновляется автоматически.

4.3. Есть ли настройки

И документы, и работники имеют объекты параметров среды, которые можно исследовать по следующему алгоритму, чтобы определить ограничивают ли они смешанный контент. Этот алгоритм возвращает « Запрещает смешанные контексты безопасности » или « Не запрещает смешанные контексты безопасности », по мере необходимости.

Учитывая объект настроек среды ( настройки ):

1. Если настройки ’ источник является потенциально надежным источником, то возврат « запрещает смешанные контексты безопасности ».

2. Если настройки ’ глобальный объект окно , то:

   1. Установить документ на настройки ’ документ, связанный с глобальным объектом.

   2. Для каждого судоходного судоходного в документ предок navigables:

      1. Если навигационный источник активного документа является потенциально надежным источником, затем верните « Запрещает смешанные контексты безопасности ».

3. Вернуть « Не ограничивает смешанные контексты безопасности ».

Если документ имеет встроенный документ, пользовательский агент должен проверить не только сам документ, но и просмотр верхнего уровня контекст, в который вложен документ, так как это контекст который контролирует ожидания пользователя относительно состояния безопасности ресурс, который она загружает. Например:

http://a.com загружает http://evil.com . небезопасный запрос будет разрешен, так как a.com не был загружен по защищенному соединению.

https://a.com загружает http://evil.com . небезопасный запрос будет заблокирован, так как a.com был загружен через безопасное соединение.

http://a.com кадры https://b.com , которые загружает http://evil. com . В этом случае небезопасный запрос на evil.com будет заблокирован, так как b.com был грузится по защищенному соединению, хотя a.com не было.

https://a.com фреймы data: URL, который загружает http://evil.com . В этом случае небезопасный запрос на evil.com будет заблокирован, так как a.com был загружен по защищенному соединению, даже несмотря на то, что в кадре данных: URL-адрес не будет блокировать смешанный контент, если он загружен в контексте верхнего уровня.

4.4. Должен ли запрос

блокироваться как смешанный контент?

Примечание. Спецификация Fetch подключается к этому алгоритму, чтобы определить, запрос должен быть полностью заблокирован (например, потому что запрос относится к блокируемому контенту, и мы можем предположить, что он не будет загружается через защищенное соединение).

Учитывая запрос запрос , пользовательский агент определяет должен ли запрос запрос выполняться или нет через следующий алгоритм:

1. Вернуть разрешено , если одно или несколько из следующих выполняются условия:
   1. §4.3 Запрещают ли настройки смешанные контексты безопасности? возвращает « Не ограничивает смешанные контексты безопасности » при применении к клиенту запроса .
   2. URL-адрес запроса является потенциально надежным URL-адресом.
   3. Пользовательский агент получил указание разрешить смешанный контент, т.к. описано в §7.2 Пользовательские элементы управления).
   4. запрос пункт назначения « документ » и запрос целевой просмотр context не имеет родительского контекста просмотра.

      Примечание. Мы исключаем переходы верхнего уровня из проверки смешанного содержимого, но пользовательские агенты МОГУТ выбрать принудительную проверку смешанного содержимого на небезопасная отправка формы (см. §7.1 Отправка формы).

2. Возврат заблокирован .

4.5. Следует ли блокировать ответ

на запрос как смешанный содержание?

Примечание. Если запрос продолжается, мы по-прежнему может захотеть заблокировать ответ в зависимости от состояния соединения который сгенерировал ответ (например, потому что запрос может быть заблокирован, но соединение не аутентифицировано), и нам также необходимо обеспечить что Service Worker случайно не вернет неаутентифицированный ответ на блокируемый запрос. Этот алгоритм используется для создания эта решимость.

Учитывая запрос запрос и ответ ответ , пользовательский агент определяет, какой ответ должен быть возвращается по следующему алгоритму:

1. Вернуть разрешено , если одно или несколько из следующих выполняются условия:
   1. §4.3 Запрещают ли настройки смешанные контексты безопасности? возвращает Не ограничивает Смешанное содержимое при применении к клиенту запроса .
   2. URL-адрес ответа является потенциально надежным URL-адресом.
   3. Пользовательский агент получил указание разрешить смешанный контент, т.к. описано в §7.2 Пользовательские элементы управления).
   4. запрос пункт назначения « документ » и запрос целевой просмотр context не имеет родительского контекста просмотра.

      Примечание. Мы исключаем переходы верхнего уровня из проверки смешанного содержимого, но пользовательские агенты МОГУТ выбрать принудительную проверку смешанного содержимого на небезопасная отправка формы (см. §7.1 Отправка формы).

2. Возврат заблокирован .

5. Интеграция

5.1. Модификации Fetch

Fetch §4.1 Основная выборка должна быть изменена для вызова §4.1 Обновите запрос смешанного содержимого до потенциально надежного URL-адреса, если это уместно, в запросе между шагами 3 и 4. То есть обновляемый смешанный контент должен автоматически обновляться до HTTPS перед применением блокировки смешанного контента.

5.2. Изменения в HTML

Обработка ответа навигации должна быть изменена следующим образом. Шаг 3 должен прервать загрузку и вернуть, если URL-адрес активного документа источника является потенциально заслуживающим доверия URL-адресом и любым URL-адресом в ответе список URL-адресов не является потенциально заслуживающим доверия URL-адресом.

Аналогичное изменение необходимо внести для загрузки гиперссылки. В этом алгоритме шаг 6.2 следует изменить, чтобы вернуть (прервать загрузку), если узел субъекта URL-адрес документа является потенциально надежным URL-адресом и любой URL в 9Список URL-адресов ответа 0300 не является потенциально надежным URL-адресом (где ответ является результатом получение запроса ).

Примечание. Загрузки не обновляются автоматически, как другие типы смешанного содержимого, поскольку агент пользователя не всегда знает перед запросом ресурса, что он будет загружен.

Примечание. Ресурсы загружаются до того, как пользовательский агент решит, следует ли прервать их на основе небезопасное соединение. Таким образом, конфиденциальная информация может передаваться по сети, даже если пользователь агент в конечном итоге блокирует загрузку. Как правило, это неизбежно, поскольку пользовательский агент не может знать, что ресурс должен быть загружен до тех пор, пока он не получит окончательный ответ, но заблокировав ресурс, пользовательские агенты будут поощрять операторов веб-сайтов обслуживать загрузки по защищенным соединениям.

6. Устаревание

6.1.

Строгая проверка смешанного содержимого

Более ранняя версия этой спецификации определяла директиву CSP block-all-mixed-content . Сейчас это устарело, потому что весь смешанный контент теперь блокируется, если его нельзя обновить автоматически.

Примечание. Директива upgrade-insecure-requests ([upgrade-insecure-requests]) не устарело, поскольку позволяет разработчикам обновлять блокируемый контент. Только эта спецификация обновляет обновляемый контент по умолчанию.

7. Вопросы безопасности и конфиденциальности

В целом ожидается, что автоматическое обновление обновляемого смешанного содержимого будет обеспечивать безопасность и безопасность. конфиденциальность, защищая больше пользовательского трафика от сетевого прослушивания и несанкционированного доступа.

Существует риск возникновения проблемы безопасности или конфиденциальности на веб-странице при загрузке ресурса, который разработчик не собирался. Например, предположим, что на веб-сайте размещено безобидное изображение. из http://www.example.com/image.jpg , а для некоторых причина https://www.example.com/image.jpg перенаправляет на сайт отслеживания. Браузер теперь будет введена проблема конфиденциальности без явного разрешения разработчика или пользователя согласие. Однако ожидается, что такие случаи будут чрезвычайно редкими. Риск снижается за счет автоматическое обновление только обновляемого контента, а не блокируемого контента. Блокируемый контент может представлять больший риск, например, риск загрузки устаревшего и уязвимого кода JavaScript. библиотека.

7.1. Отправка формы

Если §4.3 Запрещают ли настройки смешанные контексты безопасности? возвращает Restricts Mixed Content при применении к соответствующему объекту настроек Document , тогда пользовательский агент МОЖЕТ выбрать предупреждение пользователей о наличие одного или нескольких элементов формы с атрибутами действия, чьи значения не являются потенциально надежными URL-адресами.

Пользовательский агент МОЖЕТ выбрать предупреждение пользователей при отправке формы 9Элемент 0023 с атрибутами действия, значения которых не являются потенциально надежными URL-адресами. и разрешить пользователям прерывать отправку. Если пользовательский агент предупреждает об элементе формы отправки на потенциально ненадежные URL-адреса, он ДОЛЖЕН также предупреждать и разрешать пользователям прервать отправку, если при отправке действие элемента формы формы перенаправляется на потенциально ненадежный URL-адрес, раскрывающий информацию формы .

Кроме того, пользовательский агент МОЖЕТ обрабатывать отправку формы из такого Документ как блокируемый запрос, даже если отправка происходит в контексте просмотра верхнего уровня.

7.2. Пользовательские элементы управления

Пользовательский агент МОЖЕТ предлагать пользователям возможность отменить свое решение о блокировании блокируемого смешанного контента на определенной странице.

Примечание. На практике пользовательский агент, вероятно, не может обойтись без предложения такая задняя дверь. Тем не менее, разрешение смешанных сценариев, в частности, очень опасная опция, и каждый пользовательский агент ДЕЙСТВИТЕЛЬНО НЕ ДОЛЖЕН [RFC6919] предоставляют такой выбор пользователям без тщательного рассмотрения и информирование о связанном с этим риске.

Пользовательский агент МОЖЕТ предлагать пользователям возможность отменить свое решение автоматически обновлять обновляемый смешанный контент на конкретная страница.

Любые такие элементы управления, предлагаемые пользовательским агентом, ДОЛЖНЫ также предлагаться через API доступности для пользователей вспомогательных технологий.

8. Благодарности

В дополнение к замечательным отзывам, полученным от рабочей группы WebAppSec, Команда безопасности Chrome оказала неоценимую помощь при подготовке этой спецификации.