پشتیبانی از HTTPS برای وبسایت شما گامی مهم برای محافظت از سایت و کاربرانتان در برابر حمله است، اما محتوای ترکیبی میتواند این محافظت را بیفایده کند. همانطور که در بخش «محتوای ترکیبی چیست؟» توضیح داده شده است، محتوای ترکیبی ناامن به طور فزایندهای توسط مرورگرها مسدود خواهد شد.
در این راهنما، تکنیکها و ابزارهایی را برای رفع مشکلات محتوای ترکیبی موجود و جلوگیری از وقوع موارد جدید نشان خواهیم داد.
یافتن محتوای ترکیبی با بازدید از سایت شما
هنگام بازدید از یک صفحه HTTPS در گوگل کروم، مرورگر به شما در مورد محتوای ترکیبی به عنوان خطا و هشدار در کنسول جاوا اسکریپت هشدار میدهد.
در بخش «محتوای ترکیبی چیست؟» میتوانید تعدادی مثال پیدا کنید و ببینید که چگونه مشکلات در Chrome DevTools گزارش میشوند.
مثال محتوای ترکیبی غیرفعال، هشدارهای زیر را نشان میدهد. اگر مرورگر بتواند محتوا را در یک URL با پروتکل https پیدا کند، به طور خودکار آن را ارتقا میدهد و سپس پیامی را نشان میدهد.
محتوای ترکیبی فعال مسدود شده و یک هشدار نمایش میدهد.
اگر در سایت خود با هشدارهایی مانند این برای آدرسهای http:// مواجه شدید، باید آنها را در منبع سایت خود اصلاح کنید. تهیه فهرستی از این آدرسها به همراه صفحهای که آنها را در آن پیدا کردهاید، برای استفاده در هنگام اصلاح آنها مفید است.
یافتن محتوای ترکیبی در سایت شما
شما میتوانید محتوای ترکیبی را مستقیماً در کد منبع خود جستجو کنید. در کد منبع خود http:// را جستجو کنید و به دنبال برچسبهایی باشید که شامل ویژگیهای HTTP URL هستند. توجه داشته باشید که داشتن http:// در ویژگی href تگهای anchor ( <a> ) اغلب مشکل محتوای ترکیبی نیست، به جز برخی استثنائات قابل توجه که بعداً مورد بحث قرار خواهد گرفت.
اگر سایت شما با استفاده از یک سیستم مدیریت محتوا منتشر شده است، ممکن است هنگام انتشار صفحات، لینکهایی به URLهای ناامن درج شود. به عنوان مثال، تصاویر ممکن است به جای یک مسیر نسبی، با یک URL کامل درج شوند. شما باید این موارد را در محتوای CMS پیدا کرده و اصلاح کنید.
رفع محتوای ترکیبی
وقتی محتوای ترکیبی را در منبع سایت خود پیدا کردید، میتوانید این مراحل را برای رفع آن دنبال کنید.
اگر یک پیام کنسول دریافت کردید که درخواست منبع به طور خودکار از HTTP به HTTPS ارتقا یافته است، میتوانید با خیال راحت آدرس http:// را برای منبع در کد خود به https:// تغییر دهید. همچنین میتوانید با تغییر http:// به https:// در نوار آدرس مرورگر و تلاش برای باز کردن URL در یک تب مرورگر، بررسی کنید که آیا منبع به طور ایمن در دسترس است یا خیر.
اگر منبع از طریق https:// در دسترس نیست، باید یکی از گزینههای زیر را در نظر بگیرید:
- در صورت موجود بودن، منبع را از میزبان دیگری اضافه کنید.
- اگر از نظر قانونی مجاز به انجام این کار هستید، محتوا را مستقیماً دانلود و در سایت خود میزبانی کنید.
- منبع را به طور کامل از سایت خود حذف کنید.
پس از رفع مشکل، صفحهای را که در ابتدا خطا را در آن پیدا کردید، مشاهده کنید و تأیید کنید که دیگر خطا ظاهر نمیشود.
مراقب استفاده از برچسبهای غیر استاندارد باشید
مراقب استفاده از تگهای غیراستاندارد در سایت خود باشید. برای مثال، URLهای تگ لنگر ( <a> ) منجر به خطاهای محتوای ترکیبی نمیشوند، زیرا باعث میشوند مرورگر به صفحه جدیدی هدایت شود. این بدان معناست که معمولاً نیازی به اصلاح آنها نیست. با این حال، برخی از اسکریپتهای گالری تصاویر، عملکرد تگ <a> را نادیده میگیرند و منبع HTTP مشخص شده توسط ویژگی href را در یک صفحه لایت باکس در صفحه بارگذاری میکنند و باعث ایجاد مشکل محتوای ترکیبی میشوند.
مدیریت محتوای ترکیبی در مقیاس بزرگ
مراحل دستی بالا برای وبسایتهای کوچکتر به خوبی کار میکنند؛ اما برای وبسایتهای بزرگ یا سایتهایی که تیمهای توسعه جداگانه زیادی دارند، پیگیری تمام محتوای بارگذاری شده میتواند دشوار باشد. برای کمک به این کار، میتوانید از سیاست امنیت محتوا استفاده کنید تا به مرورگر دستور دهید که در مورد محتوای ترکیبی به شما اطلاع دهد و اطمینان حاصل کنید که صفحات شما هرگز به طور غیرمنتظره منابع ناامن را بارگذاری نمیکنند.
سیاست امنیتی محتوا
سیاست امنیتی محتوا (CSP) یک ویژگی مرورگر چند منظوره است که میتوانید از آن برای مدیریت محتوای ترکیبی در مقیاس بزرگ استفاده کنید. مکانیسم گزارشدهی CSP میتواند برای ردیابی محتوای ترکیبی در سایت شما استفاده شود و سیاستهای اجرایی را برای محافظت از کاربران با ارتقاء یا مسدود کردن محتوای ترکیبی ارائه دهد.
شما میتوانید این ویژگیها را برای یک صفحه با وارد کردن هدر Content-Security-Policy یا Content-Security-Policy-Report-Only در پاسخ ارسالی از سرور خود فعال کنید. علاوه بر این، میتوانید Content-Security-Policy (البته نه Content-Security-Policy-Report-Only ) را با استفاده از یک تگ <meta> در بخش <head> صفحه خود تنظیم کنید.
یافتن محتوای ترکیبی با سیاست امنیتی محتوا
شما میتوانید از سیاست امنیت محتوا برای جمعآوری گزارشهای محتوای ترکیبی در سایت خود استفاده کنید. برای فعال کردن این ویژگی، دستورالعمل Content-Security-Policy-Report-Only را با اضافه کردن آن به عنوان هدر پاسخ برای سایت خود تنظیم کنید.
سربرگ پاسخ:
Content-Security-Policy-Report-Only: default-src https: 'unsafe-inline' 'unsafe-eval'; report-uri https://example.com/reportingEndpoint
هر زمان که کاربری از صفحهای در سایت شما بازدید میکند، مرورگر او گزارشهایی با فرمت JSON در مورد هر چیزی که سیاست امنیتی محتوا را نقض میکند، به https://example.com/reportingEndpoint ارسال میکند. در این حالت، هر زمان که یک زیرمنبع از طریق HTTP بارگذاری شود، گزارشی ارسال میشود. این گزارشها شامل URL صفحهای است که نقض سیاست در آن رخ داده است و URL زیرمنبعی که سیاست را نقض کرده است. اگر نقطه پایانی گزارشدهی خود را برای ثبت این گزارشها پیکربندی کنید، میتوانید محتوای ترکیبی را در سایت خود بدون بازدید از هر صفحه، پیگیری کنید.
دو نکتهی قابل توجه در این مورد عبارتند از:
- کاربران باید صفحه شما را در مرورگری که هدر CSP را درک میکند، مشاهده کنند. این موضوع در مورد اکثر مرورگرهای مدرن صادق است.
- شما فقط گزارشهایی از صفحات بازدید شده توسط کاربران خود دریافت میکنید. بنابراین اگر صفحاتی دارید که ترافیک زیادی ندارند، ممکن است مدتی طول بکشد تا گزارشهایی برای کل سایت خود دریافت کنید.
راهنمای سیاست امنیتی محتوا اطلاعات بیشتر و یک نمونه نقطه پایانی دارد.
جایگزینهایی برای گزارشدهی با CSP
اگر سایت شما توسط پلتفرمی مانند بلاگر میزبانی میشود، ممکن است به تغییر هدرها و اضافه کردن CSP دسترسی نداشته باشید. در عوض، یک جایگزین مناسب میتواند استفاده از یک خزنده وبسایت برای یافتن مشکلات در سراسر سایت شما باشد، مانند HTTPSChecker یا Mixed Content Scan .
ارتقاء درخواستهای ناامن
' d='M96 183a64 64 0 0 1-23-23L17 64a128 128 0 0 0 111 192l55-96a64 64 0 0 1-87 23Z'/%3E%3Cpath fill='url(%23b)' d='M192 128a64 64 0 0 1-9 32l-55 96A128 128 0 0 0 239 64H128a64 64 0 0 1 64 64Z'/%3E%3Ccircle cx='128' cy='128' r='52' fill='%231a73e8'/%3E%3Cpath fill='url(%23c)' d='M96 73a64 64 0 0 1 32-9h111a128 128 0 0 0-222 0l56 96a64 64 0 0 1 23-87Z'/%3E%3C/svg%3E)
' xlink:href='%23A'%3E%3Cstop offset='.76' stop-opacity='0'/%3E%3Cstop offset='.95' stop-opacity='.5'/%3E%3Cstop offset='1'/%3E%3C/radialGradient%3E%3CradialGradient id='F' cx='2523' cy='4680' r='20243' gradientTransform='matrix(-.03715 .99931 -2.12836 -.07913 13579 3530)' xlink:href='%23A'%3E%3Cstop offset='0' stop-color='%2335c1f1'/%3E%3Cstop offset='.11' stop-color='%2334c1ed'/%3E%3Cstop offset='.23' stop-color='%232fc2df'/%3E%3Cstop offset='.31' stop-color='%232bc3d2'/%3E%3Cstop offset='.67' stop-color='%2336c752'/%3E%3C/radialGradient%3E%3CradialGradient id='G' cx='24247' cy='7758' r='9734' gradientTransform='matrix(.28109 .95968 -.78353 .22949 24510 -16292)' xlink:href='%23A'%3E%3Cstop offset='0' stop-color='%2366eb6e'/%3E%3Cstop offset='1' stop-color='%2366eb6e' stop-opacity='0'/%3E%3C/radialGradient%3E%3Cpath id='H' d='M24105 20053a9345 9345 0 01-1053 472 10202 10202 0 01-3590 646c-4732 0-8855-3255-8855-7432 0-1175 680-2193 1643-2729-4280 180-5380 4640-5380 7253 0 7387 6810 8137 8276 8137 791 0 1984-230 2704-456l130-44a12834 12834 0 006660-5282c220-350-168-757-535-565z'/%3E%3Cpath id='I' d='M11571 25141a7913 7913 0 01-2273-2137 8145 8145 0 01-1514-4740 8093 8093 0 013093-6395 8082 8082 0 011373-859c312-148 846-414 1554-404a3236 3236 0 012569 1297 3184 3184 0 01636 1866c0-21 2446-7960-8005-7960-4390 0-8004 4166-8004 7820 0 2319 538 4170 1212 5604a12833 12833 0 007684 6757 12795 12795 0 003908 610c1414 0 2774-233 4045-656a7575 7575 0 01-6278-803z'/%3E%3Cpath id='J' d='M16231 15886c-80 105-330 250-330 566 0 260 170 512 472 723 1438 1003 4149 868 4156 868a5954 5954 0 003027-839 6147 6147 0 001133-850 6180 6180 0 001910-4437c26-2242-796-3732-1133-4392-2120-4141-6694-6525-11668-6525-7011 0-12703 5635-12798 12620 47-3654 3679-6605 7996-6605 350 0 2346 34 4200 1007 1634 858 2490 1894 3086 2921 618 1067 728 2415 728 2952s-271 1333-780 1990z'/%3E%3Cuse fill='url(%23B)' xlink:href='%23H'/%3E%3Cuse fill='url(%23D)' opacity='.35' xlink:href='%23H'/%3E%3Cuse fill='url(%23C)' xlink:href='%23I'/%3E%3Cuse fill='url(%23E)' opacity='.4' xlink:href='%23I'/%3E%3Cuse fill='url(%23F)' xlink:href='%23J'/%3E%3Cuse fill='url(%23G)' xlink:href='%23J'/%3E%3C/svg%3E)
' gradientUnits='userSpaceOnUse'%3E%3Cstop offset='.2' stop-color='%239059ff' stop-opacity='0'/%3E%3Cstop offset='.3' stop-color='%238c4ff3' stop-opacity='.1'/%3E%3Cstop offset='.8' stop-color='%237716a8' stop-opacity='.5'/%3E%3Cstop offset='1' stop-color='%236e008b' stop-opacity='.6'/%3E%3C/radialGradient%3E%3CradialGradient id='ff-g' cx='239.1' cy='34.6' r='171.6' gradientUnits='userSpaceOnUse'%3E%3Cstop offset='0' stop-color='%23ffe226'/%3E%3Cstop offset='.1' stop-color='%23ffdb27'/%3E%3Cstop offset='.3' stop-color='%23ffc82a'/%3E%3Cstop offset='.5' stop-color='%23ffa930'/%3E%3Cstop offset='.7' stop-color='%23ff7e37'/%3E%3Cstop offset='.8' stop-color='%23ff7139'/%3E%3C/radialGradient%3E%3CradialGradient id='ff-h' cx='374' cy='-74.3' r='732.2' gradientUnits='userSpaceOnUse'%3E%3Cstop offset='.1' stop-color='%23fff44f'/%3E%3Cstop offset='.5' stop-color='%23ff980e'/%3E%3Cstop offset='.6' stop-color='%23ff5634'/%3E%3Cstop offset='.7' stop-color='%23ff3647'/%3E%3Cstop offset='.9' stop-color='%23e31587'/%3E%3C/radialGradient%3E%3CradialGradient id='ff-i' cx='304.6' cy='7.1' r='536.4' gradientTransform='rotate(84 303 4)' gradientUnits='userSpaceOnUse'%3E%3Cstop offset='0' stop-color='%23fff44f'/%3E%3Cstop offset='.1' stop-color='%23ffe847'/%3E%3Cstop offset='.2' stop-color='%23ffc830'/%3E%3Cstop offset='.3' stop-color='%23ff980e'/%3E%3Cstop offset='.4' stop-color='%23ff8b16'/%3E%3Cstop offset='.5' stop-color='%23ff672a'/%3E%3Cstop offset='.6' stop-color='%23ff3647'/%3E%3Cstop offset='.7' stop-color='%23e31587'/%3E%3C/radialGradient%3E%3CradialGradient id='ff-j' cx='235' cy='98.1' r='457.1' gradientUnits='userSpaceOnUse'%3E%3Cstop offset='.1' stop-color='%23fff44f'/%3E%3Cstop offset='.5' stop-color='%23ff980e'/%3E%3Cstop offset='.6' stop-color='%23ff5634'/%3E%3Cstop offset='.7' stop-color='%23ff3647'/%3E%3Cstop offset='.9' stop-color='%23e31587'/%3E%3C/radialGradient%3E%3CradialGradient id='ff-k' cx='355.7' cy='124.9' r='500.3' gradientUnits='userSpaceOnUse'%3E%3Cstop offset='.1' stop-color='%23fff44f'/%3E%3Cstop offset='.2' stop-color='%23ffe141'/%3E%3Cstop offset='.5' stop-color='%23ffaf1e'/%3E%3Cstop offset='.6' stop-color='%23ff980e'/%3E%3C/radialGradient%3E%3ClinearGradient id='ff-a' x1='446.9' y1='76.8' x2='47.9' y2='461.8' gradientUnits='userSpaceOnUse'%3E%3Cstop offset='.1' stop-color='%23fff44f'/%3E%3Cstop offset='.1' stop-color='%23ffe847'/%3E%3Cstop offset='.2' stop-color='%23ffc830'/%3E%3Cstop offset='.4' stop-color='%23ff980e'/%3E%3Cstop offset='.4' stop-color='%23ff8b16'/%3E%3Cstop offset='.5' stop-color='%23ff672a'/%3E%3Cstop offset='.5' stop-color='%23ff3647'/%3E%3Cstop offset='.7' stop-color='%23e31587'/%3E%3C/linearGradient%3E%3ClinearGradient id='ff-l' x1='442.1' y1='74.8' x2='102.6' y2='414.3' gradientUnits='userSpaceOnUse'%3E%3Cstop offset='.2' stop-color='%23fff44f' stop-opacity='.8'/%3E%3Cstop offset='.3' stop-color='%23fff44f' stop-opacity='.6'/%3E%3Cstop offset='.5' stop-color='%23fff44f' stop-opacity='.2'/%3E%3Cstop offset='.6' stop-color='%23fff44f' stop-opacity='0'/%3E%3C/linearGradient%3E%3C/defs%3E%3Cpath d='M479 166c-11-25-32-52-49-60a249 249 0 0 1 25 73c-27-68-73-95-111-155a255 255 0 0 1-8-14 44 44 0 0 1-4-9 1 1 0 0 0 0-1 1 1 0 0 0-1 0c-60 35-81 101-83 134a120 120 0 0 0-66 25 71 71 0 0 0-6-5 111 111 0 0 1-1-58c-25 11-44 29-58 44-9-12-9-52-8-60l-8 4a175 175 0 0 0-24 21 210 210 0 0 0-22 26 203 203 0 0 0-32 73l-1 2-2 15a229 229 0 0 0-4 34v1a240 240 0 0 0 477 40l1-9c5-41 0-84-15-121zM202 355l3 1-3-1zm55-145zm198-31z' fill='url(%23ff-a)'/%3E%3Cpath d='M479 166c-11-25-32-52-49-60 14 26 22 53 25 72v1a207 207 0 0 1-206 279c-113-3-212-87-231-197-3-17 0-26 2-40-2 11-3 14-4 34v1a240 240 0 0 0 477 40l1-9c5-41 0-84-15-121z' fill='url(%23ff-b)'/%3E%3Cpath d='M479 166c-11-25-32-52-49-60 14 26 22 53 25 72v1a207 207 0 0 1-206 279c-113-3-212-87-231-197-3-17 0-26 2-40-2 11-3 14-4 34v1a240 240 0 0 0 477 40l1-9c5-41 0-84-15-121z' fill='url(%23ff-c)'/%3E%3Cpath d='m362 195 1 1a130 130 0 0 0-22-29C266 92 322 5 331 0c-60 35-81 101-83 134l9-1c45 0 84 25 105 62z' fill='url(%23ff-d)'/%3E%3Cpath d='M257 210c-1 6-22 26-29 26-68 0-80 41-80 41 3 35 28 64 57 79l4 2 7 3a107 107 0 0 0 31 6c120 6 143-143 57-186 22-4 45 5 58 14-21-37-60-62-105-62l-9 1a120 120 0 0 0-66 25l17 16c16 16 58 33 58 35z' fill='url(%23ff-e)'/%3E%3Cpath d='M257 210c-1 6-22 26-29 26-68 0-80 41-80 41 3 35 28 64 57 79l4 2 7 3a107 107 0 0 0 31 6c120 6 143-143 57-186 22-4 45 5 58 14-21-37-60-62-105-62l-9 1a120 120 0 0 0-66 25l17 16c16 16 58 33 58 35z' fill='url(%23ff-f)'/%3E%3Cpath d='m171 151 5 3a111 111 0 0 1-1-58c-25 11-44 29-58 44 1 0 36 0 54 11z' fill='url(%23ff-g)'/%3E%3Cpath d='M18 261a242 242 0 0 0 231 197 207 207 0 0 0 206-279c8 56-20 110-64 146-86 71-169 43-186 31l-3-1c-50-24-71-70-67-110-42 0-57-35-57-35s38-28 89-4c46 22 90 4 90 4 0-2-42-19-58-35l-17-16a71 71 0 0 0-6-5l-5-3c-18-11-52-11-54-11-9-12-9-51-8-60l-8 4a175 175 0 0 0-24 21 210 210 0 0 0-22 26 203 203 0 0 0-32 73c0 1-9 38-5 57z' fill='url(%23ff-h)'/%3E%3Cpath d='M341 167a130 130 0 0 1 22 29 46 46 0 0 1 4 3c55 50 26 121 24 126 44-36 72-90 64-146-27-68-73-95-111-155a255 255 0 0 1-8-14 44 44 0 0 1-4-9 1 1 0 0 0 0-1 1 1 0 0 0-1 0c-9 5-65 92 10 167z' fill='url(%23ff-i)'/%3E%3Cpath d='M367 199a46 46 0 0 0-4-3l-1-1c-13-9-36-18-58-15 86 44 63 193-57 187a107 107 0 0 1-31-6 131 131 0 0 1-11-5c17 12 99 39 186-31 2-5 31-76-24-126z' fill='url(%23ff-j)'/%3E%3Cpath d='M148 277s12-41 80-41c7 0 28-20 29-26s-44 18-90-4c-51-24-89 4-89 4s15 35 57 35c-4 40 16 85 67 110l3 1c-29-15-54-44-57-79z' fill='url(%23ff-k)'/%3E%3Cpath d='M479 166c-11-25-32-52-49-60a249 249 0 0 1 25 73c-27-68-73-95-111-155a255 255 0 0 1-8-14 44 44 0 0 1-4-9 1 1 0 0 0 0-1 1 1 0 0 0-1 0c-60 35-81 101-83 134l9-1c45 0 84 25 105 62-13-9-36-18-58-14 86 43 63 192-57 186a107 107 0 0 1-31-6 131 131 0 0 1-11-5l-3-1 3 1c-29-15-54-44-57-79 0 0 12-41 80-41 7 0 28-20 29-26 0-2-42-19-58-35l-17-16a71 71 0 0 0-6-5 111 111 0 0 1-1-58c-25 11-44 29-58 44-9-12-9-52-8-60l-8 4a175 175 0 0 0-24 21 210 210 0 0 0-22 26 203 203 0 0 0-32 73l-1 2-2 15a279 279 0 0 0-4 34v1a240 240 0 0 0 477 40l1-9c5-41 0-84-15-121zm-24 13z' fill='url(%23ff-l)'/%3E%3C/svg%3E)
' xlink:href='%23s-b'%3E%3Cstop offset='0' stop-color='%2324a5f3' stop-opacity='0' /%3E%3Cstop offset='1' stop-color='%231e8ceb' /%3E%3C/radialGradient%3E%3CradialGradient id='s-j' cx='109.3' cy='13.8' r='93.1' gradientTransform='matrix(-.02 1.1 -1.04 -.02 137 -115)' xlink:href='%23s-b'%3E%3Cstop offset='0' stop-opacity='0' /%3E%3Cstop offset='1' stop-color='%235488d6' stop-opacity='0' /%3E%3Cstop offset='1' stop-color='%235d96eb' /%3E%3C/radialGradient%3E%3C/defs%3E%3Crect width='220' height='220' x='22' y='-107' fill='url(%23s-a)' ry='49' transform='matrix(.57 0 0 .57 187 256)' /%3E%3Cg transform='translate(194 190)'%3E%3Ccircle cx='67.8' cy='67.7' fill='url(%23s-c)' paint-order='stroke fill markers' r='54' /%3E%3Ccircle cx='-69.9' cy='69.3' fill='url(%23s-i)' transform='translate(138 -2)' r='54' /%3E%3C/g%3E%3Cellipse cx='120' cy='14.2' fill='url(%23s-j)' rx='93.1' ry='93.7' transform='matrix(.58 0 0 .58 192 250)' /%3E%3Cg transform='matrix(.58 0 0 .57 197 182)'%3E%3Cpath fill='%23cac7c8' d='M46 192h1l72-48-7-9-66 57Z' /%3E%3Cpath fill='%23fbfffc' d='M46 191v1l66-57-7-9-59 65Z' /%3E%3Cpath fill='url(%23s-d)' d='m119 144-7-9 66-57-59 66Z' /%3E%3Cpath fill='%23fb645c' d='m105 126 7 9 66-57-1-1-72 49Z' /%3E%3C/g%3E%3Cpath stroke='%23fff' stroke-linecap='round' stroke-miterlimit='1' stroke-width='1.3' d='m287 278 3-2m-12-17 8-2m-8-3h4m-4-13 8 2m-8 3h4m-1-13 7 3m-4-11 7 4m-2-11 6 6m0-12 6 7m1-11 4 6m4-10 3 7m5-9 2 7m15-7-1 7m10-5-3 7m11-4-4 7m11-2-5 6m16 7-7 4m10 4-7 3m10 6-8 1m8 16-8-2m5 10-7-3m4 11-7-4m2 11-6-5m0 11-5-6m-2 11-4-7m-4 11-3-8m-6 10-1-8m-16 8 2-8m-10 5 3-7m-11 4 4-7m-11 2 5-6m-8 3 3-3m4 8 2-3m5 8 2-4m6 7 1-4m8 5v-4m8 4v-4m9 3-1-4m9 1-2-4m9 0-2-4m9-2-3-3m8-4-3-2m8-5-4-2m7-6-4-1m5-8h-4m4-8h-4m3-9-4 1m1-9-4 2m-1-9-3 2m-2-9-3 3m-4-8-2 3m-5-8-2 4m-6-6-1 3m-8-5v4m-8-4v4m-9-2 1 3m-9 0 2 3m-9 1 2 3m-9 2 3 3m-8 4 3 2m-8 5 4 2m-7 6 4 1m-4 25 4-1m-2 5 7-3m-6 7 4-2m-2 6 7-4m-13-21h8m41-41v-8m0 99v-8m49-42h-8' transform='translate(-65 8)' /%3E%3C/svg%3E)
مرورگرها شروع به ارتقاء و مسدود کردن درخواستهای ناامن کردهاند. شما میتوانید از دستورالعملهای CSP برای مجبور کردن ارتقاء یا مسدود کردن خودکار این داراییها استفاده کنید.
دستورالعمل CSP مربوط به upgrade-insecure-requests به مرورگر دستور میدهد که قبل از ارسال درخواستهای شبکه، URLهای ناامن را ارتقا دهد.
به عنوان مثال، اگر صفحهای حاوی یک تگ تصویر با یک آدرس HTTP مانند <img src="http://example.com/image.jpg"> باشد.
در عوض، مرورگر یک درخواست امن برای https://example.com/image.jpg ارسال میکند و در نتیجه کاربر را از محتوای ترکیبی نجات میدهد.
شما میتوانید این رفتار را با ارسال یک هدر Content-Security-Policy به همراه این دستورالعمل فعال کنید:
Content-Security-Policy: upgrade-insecure-requests
یا با جاسازی همان دستورالعمل به صورت درونخطی در بخش <head> سند با استفاده از عنصر <meta> :
<meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests">
همانند ارتقاء خودکار مرورگر، اگر منبع از طریق HTTPS در دسترس نباشد، درخواست ارتقاء با شکست مواجه میشود و منبع بارگیری نمیشود. این امر امنیت صفحه شما را حفظ میکند. دستورالعمل upgrade-insecure-requests فراتر از ارتقاء خودکار مرورگر عمل میکند و سعی میکند درخواستهایی را که مرورگر در حال حاضر انجام نمیدهد، ارتقاء دهد.
دستورالعمل upgrade-insecure-requests به صورت آبشاری در اسناد <iframe> اجرا میشود و از محافظت کل صفحه اطمینان حاصل میکند.