"Ce site a un contenu non sécurisé;" "Seul le contenu sécurisé est affiché;" "Firefox a bloqué du contenu qui n'est pas sécurisé." Vous rencontrerez parfois ces avertissements lorsque vous naviguez sur le Web, mais que signifient-ils exactement?
Il existe deux types de contenu mixte - l'un est pire que l'autre, mais aucun n'est bon. Les avertissements de contenu mixte indiquent que quelque chose ne va pas avec une page Web que vous visitez.
Qu'est-ce que le contenu mixte?
EN RELATION: Qu'est-ce que HTTPS et pourquoi devrais-je m'en soucier?
Tout cela se résume à la différence entre HTTP et HTTPS . HTTP est le type de connexion le plus couramment utilisé. Lorsque vous visitez un site Web à l'aide du protocole HTTP, votre connexion au site Web n'est pas sécurisée. Toute personne qui écoute le trafic peut voir la page que vous consultez et toutes les données que vous envoyez dans les deux sens.
C'est pourquoi nous avons HTTPS, qui est littéralement «HTTP sécurisé». HTTPS crée une connexion sécurisée entre vous et le serveur Web. La connexion est chiffrée et authentifiée, de sorte que personne ne peut espionner votre trafic et vous avez l'assurance que vous êtes connecté au bon site Web. Ceci est extrêmement important pour sécuriser les mots de passe des comptes et les données de paiement en ligne, afin que personne ne puisse les écouter.
Les avertissements de contenu mixte indiquent un problème avec une page Web à laquelle vous accédez via HTTPS. La connexion HTTPS doit être sécurisée, mais le code source de la page Web extrait d'autres ressources avec le protocole HTTP non sécurisé, et non HTTPS. La barre d'adresse de votre navigateur Web indiquera que vous êtes connecté via HTTPS, mais la page charge également des ressources avec le protocole HTTP non sécurisé en arrière-plan. Pour vous assurer que la page Web que vous utilisez n'est pas totalement sécurisée, les navigateurs affichent un avertissement indiquant que la page contient à la fois un contenu HTTPS et HTTP (contenu mixte, en d'autres termes).
Pourquoi c'est dangereux
EN RELATION: Qu'est-ce que le cryptage et comment fonctionne-t-il?
Voici pourquoi c'est réellement dangereux. Supposons que vous soyez sur une page de paiement et que vous êtes sur le point de saisir votre numéro de carte de crédit. La page de paiement indique qu'il s'agit d'un crypté Connexion HTTPS, mais vous voyez un avertissement de contenu mixte. Cela devrait soulever un drapeau rouge. Il est possible que les informations de paiement que vous saisissez soient capturées par le contenu non sécurisé et envoyées via une connexion non sécurisée, supprimant ainsi l'avantage de la sécurité HTTPS - quelqu'un pourrait écouter et voir vos données sensibles.
Étant donné que HTTP n'authentifie pas le serveur Web de la même manière que HTTPS, il est également possible qu'un site HTTPS sécurisé qui extrait un script d'un site HTTP soit amené à extraire le script d'un attaquant et à l'exécuter sur le site par ailleurs sécurisé. Lorsque HTTPS est utilisé, vous avez plus d'assurance que le contenu n'a pas été falsifié et qu'il est légitime.
Dans les deux cas, cela élimine l'avantage d'avoir une connexion HTTPS sécurisée. Il est possible qu'un site Web ait un avertissement de contenu non sécurisé tout en sécurisant correctement vos données personnelles, mais nous ne le savons vraiment pas avec certitude et ne devrions pas prendre le risque - c'est pourquoi les navigateurs Web vous avertissent lorsque vous rencontrez un site Web qui ne l'est pas. codé correctement.
Contenu actif mixte et contenu passif mixte
Il existe en fait deux types de contenu mixte. Le plus dangereux est «contenu actif mixte» ou «script mixte». Cela se produit lorsqu'un site HTTPS charge un fichier de script via HTTP. Le fichier de script peut exécuter n'importe quel code sur la page qu'il souhaite, donc le chargement d'un script via une connexion non sécurisée ruine complètement la sécurité de la page en cours. Les navigateurs Web bloquent généralement complètement ce type de contenu mixte.
Le deuxième type est "contenu passif mixte" ou "contenu d'affichage mixte". Cela se produit lorsqu'un site HTTPS charge quelque chose comme une image ou un fichier audio via une connexion HTTP. Ce type de contenu ne peut pas compromettre la sécurité de la page de la même manière, de sorte que les navigateurs Web ne réagissent pas aussi durement. Cependant, cela reste une mauvaise pratique de sécurité qui pourrait causer des problèmes. Par exemple, un attaquant pourrait remplacer l'image par une image trompeuse, altérant une page théoriquement sécurisée. Une demande de chargement d'image contient également des en-têtes contenant des informations de cookie associées à un site Web, de sorte que même le chargement d'une image via une connexion non sécurisée peut entraîner des problèmes. Les navigateurs Web affichent souvent une icône ou un message d'avertissement plutôt que de bloquer complètement le contenu, car ce type de contenu mixte est encore si courant sur de vrais sites Web. Dans Chrome, vous verrez un cadenas avec un triangle jaune.
Que faire lorsque vous voyez un avertissement de contenu mixte
Les navigateurs Web bloquent généralement par défaut les types de contenu mixte les plus dangereux. Ne le débloquez pas. Si vous ne pouvez pas vous connecter à un site Web ou saisir des informations de paiement en ligne sans charger le contenu mixte, vous devez simplement quitter le site Web et ne pas saisir vos informations sur un site Web non sécurisé. Informez les propriétaires de sites Web que leur site n'est pas sécurisé et est défectueux.
Si vous voyez un avertissement indiquant qu’une page contient d’autres ressources qui ne sont peut-être pas sécurisées, vous pouvez quand même vous connecter en toute sécurité. Ce n'est pas un bon signe si un site Web aussi important que votre banque rencontre ce problème, mais ce type d'avertissement de contenu mixte est très courant.
D'un autre côté, les avertissements de contenu mixte ne sont pas vraiment un problème si vous accédez à un site Web qui n'a pas besoin de HTTPS. Tout un avertissement de contenu mixte signifie qu'une page Web est garantie de bénéficier de la sécurité HTTPS - en d'autres termes, dans le pire des cas, la page Web que vous visitez est aussi peu sûre qu'un site HTTP standard. Donc, si vous accédiez à un site Web comme Wikipedia juste pour lire des articles et que vous voyiez un avertissement de contenu mixte, vous ne devriez pas trop vous en soucier. Dans le pire des cas, il est tout aussi peu sûr que si vous lisiez des articles sur Wikipédia via une connexion HTTP standard, ce que vous n’auriez de toute façon aucun problème à faire.
Pourquoi certaines pages Web ont ce problème
Vous ne verrez cette erreur que s'il y a un problème avec la façon dont une page Web est codée. Si une page Web est diffusée via HTTPS, elle doit également utiliser le protocole HTTPS pour extraire les fichiers de script et tout autre contenu dont elle a besoin. Les développeurs Web doivent tester leurs pages Web, en veillant à ne pas déclencher d'avertissements effrayants dans les navigateurs des utilisateurs. Si vous êtes un utilisateur, vous ne pouvez vraiment rien faire à ce sujet. C'est au propriétaire du site Web de le réparer.
Si vous êtes un développeur Web, tout ce que vous avez à faire est de vous assurer que vos pages HTTPS chargent le contenu à partir d'URL HTTPS et non d'URL HTTP. Une façon de faire est de faire en sorte que l'ensemble de votre site Web fonctionne uniquement sur SSL, de sorte que tout utilise simplement HTTPS.
Si vous souhaitez créer une page qui peut être diffusée via HTTP ou HTTPS et qui fait ce qu'il faut automatiquement, vous pouvez utiliser des "URL relatives au protocole" pour que le navigateur de l'utilisateur choisisse automatiquement HTTP ou HTTPS selon le protocole de l'utilisateur. connecté avec. Par exemple, une URL relative de protocole pour charger une image ressemblerait à <img src = ”// example.com/image.png”> . Le navigateur ajoutera automatiquement http: ou https: au début de l'URL, selon le cas. Bien entendu, vous devez vous assurer que le site vers lequel vous créez un lien propose la ressource via HTTP et HTTPS.
Les navigateurs Web bloquent automatiquement le contenu mixte ou votre protection, et c'est pourquoi. Si vous devez utiliser un site Web sécurisé qui ne fonctionne pas correctement si vous n'activez pas le contenu mixte, le propriétaire du site Web doit le réparer.
