HTTPS, TLS ve sertifikalar
HSTS ve mixed content
HTTPS sayfasının bütün kaynakları da düşünülmeli.
Kavramı anlayalım
HTTPS sayfasından HTTP aktif kaynak yüklemek mixed content yaratır. Tarayıcı türüne göre bazı yüklemeler engellenir veya yükseltilir; bunun çalışacağını varsayma. Script, API endpoint, görsel ve WebSocket bağlantılarını tek tek incele. Sadece ana sayfayı redirect etmek yeterli değildir.
HSTS güvenli yanıt üzerinden öğrenildiğinde tarayıcıya gelecekte bu host için HTTPS kullanmasını söyler. İlk bağlantı için preload ayrı bir mekanizmadır. includeSubDomains bütün alt alanları etkiler; HTTPS hazır olmayan host’ları kilitleyebilir. Uzun max-age ve preload dikkatli rollout ve operasyon kararıdır.
HSTS sertifika hatasını iyileştirmez ve uygulama açıklığını kapatmaz. Güvenli olmayan bağlantıda gönderilen HSTS güvenilir şekilde politika oluşturmaz. Yerel geliştirme ayarlarını üretim host’larına rastgele kopyalama. HTTPS geçişinde bağlantı zinciri, cookie ve eski URL referansları birlikte kontrol edilir.
HTTPS’e geçişte tarayıcıya özgü arızaları önlemek için.
includeSubDomains ve preload’u hazırlık yapmadan eklemek.
Aynı konu. Üç farklı derinlik.
Page: https://example.test
API: http://api.example.testMixed content ihtimali vardır.
Bu sayfa dış sunuculara istek göndermez. HTTP mesajları temsili, HTTP/1.1 biçiminde okunabilir gösterimlerdir; HTTP/2 ve HTTP/3 wire formatı değildir. example.test ayrılmış öğretim alan adıdır. Komut ve JavaScript örneklerini yalnız kendi test ortamında uygula; gerçek token veya cookie yayımlama.
Önce kendin dene.
HSTS expired sertifikanın kabul edilmesini sağlar mı?
Çözümü ve açıklamasını göster
HSTS ≠ certificate repairHayır; HTTPS zorunluluğu ve sertifika doğrulaması ayrı kontrollerdir.