Como tornar uma página totalmente segura em conexões SSL?

Neste post, ele mostra as configurações necessárias para fazer um SSL funcionar (na porta 443) em servidores Ubuntu.

No entanto, para algumas páginas (especialmente postagens/páginas antigas), ele mostrará informações ‘não totalmente seguras’, se você estiver usando o navegador Chrome,

SSL-não-tão-seguro

As causas, como diz, é que a página usa algumas conexões não seguras com imagens, arquivos css ou javascript. Se você acessar https://www.whynopadlock.com/ (ferramenta de verificação SSL online), poderá ver as razões detalhadas pelas quais essa página não é totalmente segura.

Ferramenta de verificação de SSL

Como alternativa, você pode acessar o console do navegador Chrome e verá os avisos em detalhes.

Detalhes/conexões SSL no console do navegador Google Chrome

Se não tornarmos esses recursos de imagem/js/css SSL, alguém poderia/poderia ser capaz de alterar a aparência do site, tornando inútil o uso de SSL.

Além disso, se você estiver usando a tag iframe HTML para incluir páginas, elas também precisam usar HTTPS, caso contrário, isso será bloqueado pela maioria dos navegadores devido a possíveis riscos de segurança.

Além disso, se você tiver formulários que sejam URLS inseguros (campo de ação ), você ainda terá avisos. Por exemplo, você deve usar a versão SSL do formulário de pesquisa do Google em vez de uma não SSL.

Se os recursos estiverem hospedados em outros domínios

Não há muito o que fazer se os recursos estiverem hospedados em outros domínios. Nesse caso, você pode usar as versões HTTPS se elas fornecerem, mas isso nem sempre é possível. Grandes empresas têm versões HTTP e HTTPS, por exemplo, google. Caso contrário, você pode baixar uma cópia e fazer o upload para seu próprio FTP e, assim, alterar a URL, que é segura.

SQL para alterar o URL para postagens do wordpress

Se você estiver usando o wordpress, poderá usar o seguinte URL para alterar os URLs na postagem.

UPDATE wp_posts SET post_content = REPLACE (post_content, '

O seguinte também altera o GUID de cada postagem.

UPDATE wp_posts SET guid = REPLACE (guid,  '

E você deve fazer login no painel de controle do wordpress para atualizar a URL do site.

configurações do painel de controle ssl do wordpress

Alternativamente, você pode fazer isso por SQL:

UPDATE wp_options SET option_value = replace(option_value, '

Se você estiver hospedando vários sites/domínios no mesmo endereço IP (VPS ou servidor dedicado)

Como você pode ver nas capturas de tela acima, se você estiver hospedando vários sites/domínios no mesmo endereço IP e se estiver usando essas imagens em suas postagens, também poderá tornar esses domínios seguros (comprando novos certificados SSL) ou alterando os URLs.

Para o segundo método, você pode baixar imagens/css/js e reenviar para o domínio SSL-ed que está usando ou mapear os URLs de recursos não-SSL para os domínios SSL-ed.

Por exemplo, você pode fazer login no seu VPS ou servidor dedicado e fazer um link simbólico (semelhante aos atalhos no Windows).

ln -s  /var/non-ssl-domains/images /var/ssl-domain/images

Em seguida, você pode substituir o http://non-ssl-domains/images para https://ssl-domain/images usando o SQL acima.

Às vezes, links simbólicos não são seguidos pelo servidor Apache e, neste caso, você pode, é claro, criar links físicos (sem a opção -s)

ln  /var/non-ssl-domains/images /var/ssl-domain/images

Usando PHP para redirecionar URLs não seguros para SSL seguro

A outra solução é criar um arquivo PHP e baseado nos parâmetros $_GET das URLs, e ler os arquivos de recursos de outro domínio, já que estão todos hospedados na mesma máquina (VPS ou servidor dedicado).

  function hell() {
    header($_SERVER['SERVER_PROTOCOL']. ' 404 Not Found'); 
    die();
  }
  $r = '';
  if (isset($_GET['r'])) {
    $r = trim($_GET['r']);
  }
  if (!strlen($r)) {
    hell();
  }
  $url = '/var/www/codingforspeed.com/images/'.$r;
  if (!is_file($url)) {
    hell();   
  }
  $ext = strtoupper(pathinfo($url, PATHINFO_EXTENSION));
  $type = exif_imagetype($url);
  if (($ext == 'JPG') && ($type == IMAGETYPE_JPEG)) {
            header('Content-Disposition: inline');
            header("Content-Type: image/jpeg");
            header("Content-Length: ". filesize($url));
            header("Content-Transfer-Encoding: binaryn");
            $im = imagecreatefromjpeg($url);
            imagejpeg($im);
            imagedestroy($im);
            die();
  }
  else if (($ext == 'GIF') && ($type == IMAGETYPE_GIF)) {
            header('Content-Disposition: inline');
            header("Content-Type: image/gif");
            header("Content-Length: ". filesize($url));
            header("Content-Transfer-Encoding: binaryn");
            readfile($url);   
            die(); 
  } 
  else if (($ext == 'PNG') && ($type == IMAGETYPE_PNG)) {
            header('Content-Disposition: inline');
            header("Content-Type: image/png");
            header("Content-Length: ". filesize($url));
            header("Content-Transfer-Encoding: binaryn");
            $im = imagecreatefrompng($url);
            imagepng($im);
            imagedestroy($im); 
            die(); 
  }
  else if (($ext == 'BMP') && ($type == IMAGETYPE_BMP)) {
            header('Content-Disposition: inline');
            header("Content-Type: image/bmp");
            header("Content-Length: ". filesize($url));
            header("Content-Transfer-Encoding: binaryn");
            $im = imagecreatefrombmp($url);
            imagebmp($im);
            imagedestroy($im);  
            die();
  }
  else {
    hell();
  }

Salve o código PHP acima em seu domínio SSL, por exemplo, https://helloacm.com/ssl e torne-o index.php.

Então, por exemplo, se o URL não seguro anterior for https://codingforspeed.com/images/logo.png, o novo URL SSL seguro será https://helloacm.com/ssl/?rlogo.png

E substitua os URLs de acordo com o wordpress usando o SQL acima. Esses métodos são meio temporários, pois se você tiver orçamentos, é melhor tornar todos os seus domínios SSL.

Bem-vindo ao mundo SSL! E como recompensa, alguns mecanismos de pesquisa (algoritmos do Google) preferem páginas SSL em vez de HTTP não seguro. Suas páginas SSL tendem a ganhar um SEO melhor.

URL de barras duplas

Às vezes, você pode ver que ‘ // helloacm.com/images/logo.png ‘. As barras duplas detectarão automaticamente o protocolo da página atual. Se for HTTP e for usar HTTP ou se for HTTPS, a imagem será acessada por HTTPS. Você pode considerar substituir todos os URLs por barras duplas para melhor compatibilidade, ou seja, não importa qual protocolo esteja usando, você sempre estará no correto. Simples assim!

reescrita de mod de URL htaccess

Depois que seus URLs SSL forem totalmente testados, você deverá mover seus URLs não seguros anteriores para o SSL. Você pode fazer isso em .htaccess (reescrita do mod do servidor apache ). Basta colocar as duas linhas a seguir na pasta raiz do seu site, por exemplo, blog wordpress.

O redirecionamento 301 informa ao mecanismo de pesquisa que a pontuação de SEO da URL não segura atual deve ser transferida para a URL SSL. Agora, comece a propagar seu SSL em vez do HTTP não seguro.