גוגל כבר הצהירו לא פעם, ועכשיו אנחנו רואים כבר עדויות בשטח, שאתר בלי SSL – עלול להפגע. אז נכון שעדיין לא רואים הוכחה בשטח לירידות מיקומים כתוצאה ממחסור בSSL (או עליה בעקבות התקנת SSL באתר) אבל מה שכן רואים זה אזהרות. אנחנו רואים שדפדפנים מודיעים שהאתר לא מאובטח – וגם אם לאתר יש SSL והוא יושב על HTTPS בלי אזהרה בכניסה- אם יש בעמוד עצמו רכיבים שסותרים את הSSL – גם אז יש לנו הודעת אזהרה בראש הדפדפן.
משהו כזה:
אז אנחנו רואים שלמרות שיש HTTPS – עדיין ישנה הודעת שגיאה. אבל הדפדפן עדיין לא אומר לנו מה לא בסדר וזה יכול להיות מלא דברים – תמונה, קובץ, סקריט ועוד.
אבל אנחנו רוצים אתר 100% מאובטח! אז איך נגלה מה הבעיה?
אז קדימה לצפרדע!
פותחים את הצפרדע בMODE של LIST – כי אנחנו לא צריכים סריקה על כל האתר אלא רק של עמוד ספציפי. (למרות שלפעמים הבעיה היא גורפת על אתר שלם – ואז נשתמש בSPIDER)
נלך ל configuration->spider
ונגדיר את ההגדרות הבאות:
בBASIC נבטל את רעשי הרקע ונתמקד רק במה שאמור להביא תוצאות רלוונטיות:
בRandering נקבע JavaScript כדי לקבל את כל המרכיבים של העמוד ונבטל את צילום המסך. מיותר.
ולסיום – בAdvanced נבקש מהצפרדע לסרוק גם הפניות כדי לוודא שאנחנו לא מפספסים כלום, ונבקש מהצפרדע לסרוק את הHTML – כדי שנוכל לאתר את מקור התקלה (אם צריך).
לוחצים Upload ומכניסים את כתובת העמוד שאנחנו רוצים לסרוק:
נותנים לצפרדע להתחיל לקפוץ ומחכים לתוצאות… שימו לב שבגלל ההגדרות שלנו – יקח לצפרדע יותר מכמה שניות בשביל לסרוק את כל העמוד והנספחים שלו. אז לא לדאוג…
כשסוף סוף עולות התוצאות – עוברים לטאב Protocol ובוחרים בפילטר HTTP.
שם יסתתרו להם כל הרכביבים שנמצאים באתר שהם לא HTTPS אלא עדיין HTTP. העניין הוא שגם אם יש לנו הפנייה גורפת באתר שמפנה מHTTP לHTTPS – עצם קיומו של לינק בקוד עלול להפריע לתעודת אבטחה.
תראו במקרה שלנו – מצאנו תמונה אחת בעמוד שהמקור שלה הוא HTTP. נכון שהמערכת עושה הפניה אוטומטית (שימו לב בצד ימין של התמונה למטה – יש הפניית 301 לHTTPS) – אבל זה מאוחר מדי… העמוד לא יקבל אור ירוק.
אז אחרי שמצאנו מה הבעיה – מחפשים בקוד האתר שביקשנו מהצפרדע לאסוף לנו (מסמנים את כתובת העמוד – ואז בוחרים למטה בview source):
ומשם נאתר את המיקום של הלינק במקום שהוא נמצא – זה יכול להיות בעמוד עצמו, בCSS, במערכת ניהול או בקוד האתר \ התבנית – נשנה להם את הלינק מHTTP לHTTPS – ובגדול זהו.
מנקים קאש, מרעננים את האתר ובודקים מה אנחנו מקבלים בדפדפן:
זהו. ניצחנו.
הבעיה הזו אכלה לי ת'ראש בכמה אתרים, ובאמת הצפרדע עזרה לי לפתור את זה כמו שצריך. בהתחלה חשבתי שקישורים יחסיים ולא אבסולוטיים ימנעו מזה לקרות, אבל לא נראה לי שאפשר להבטיח תצורה כזו בכל האתר.