I contenuti misti si verificano quando una pagina caricata in modo sicuro usa risorse richieste tramite una connessione non sicura. Il controllo dei contenuti misti di Screpy trova riferimenti HTTP nell’HTML sorgente di una pagina HTTPS pubblica e ne mostra categoria, indirizzo, prima riga e numero di occorrenze. Questi dati aiutano a trovare il contenuto o il template da correggere e a preparare un’alternativa sicura.
Il rapporto non esegue la pagina e non recupera le risorse elencate. Identifica riferimenti nel sorgente da approfondire, senza registrare ciò che il browser di un visitatore ha effettivamente caricato, aggiornato a HTTPS o bloccato. Un controllo riuscito non certifica nemmeno la sicurezza dell’intero sito.
Controlla la pagina HTTPS che contiene i riferimenti
Inserisci l’indirizzo pubblico completo della pagina da esaminare. Per un articolo, invia il suo URL, come l’indirizzo illustrativo https://example.com/guides/setup/, invece della homepage o dell’immagine che ritieni non sicura. Lo strumento analizza una pagina fornita, senza scoprire tutte le pagine del dominio.
L’input richiede HTTPS. Dopo il controllo leggi l’URL finale, perché i reindirizzamenti possono cambiare la pagina analizzata. Se un indirizzo HTTPS termina su HTTP, l’analisi dei contenuti misti HTTPS non è applicabile. Non è un risultato privo di problemi. Usa il controllo dei reindirizzamenti per indagare una destinazione inattesa.
La pagina deve restituire HTML pubblico leggibile. Una schermata di accesso può contenere riferimenti diversi dalla pagina privata che protegge. Una risposta non disponibile, un documento non supportato o una richiesta fallita lasciano il controllo incompleto; non dimostrano che i riferimenti non sicuri siano assenti.
Leggi risorse bloccabili, possibili aggiornamenti e destinazioni dei moduli
Usa il filtro per categoria per concentrarti su una parte della tabella, poi esamina elemento e attributo accanto a ogni indirizzo. Le categorie descrivono come lo strumento raggruppa i riferimenti HTTP supportati; non sono risultati osservati nel browser.
| Categoria | Esempi nel rapporto | Cosa verificare |
|---|---|---|
| Bloccabile, rosso | Script, fogli di stile, frame e candidati srcset di immagini responsive |
Trova l’origine e conferma un’alternativa HTTPS adatta. |
| Possibile aggiornamento, giallo | Riferimenti supportati a immagini, audio e video | Verifica che la risorsa prevista funzioni davvero con HTTPS; un aggiornamento automatico non dimostra la disponibilità. |
| Destinazione modulo non sicura, arancione | action di un modulo o formaction di pulsante/input |
Conferma la destinazione sicura prevista prima di cambiare il modulo. |
Il controllo esamina anche riferimenti supportati di oggetti, input di tipo immagine, poster video e alcune relazioni link. Gli URL di immagini o media con un indirizzo IP come host vengono classificati come bloccabili, anziché come possibili aggiornamenti.
La documentazione attuale sui contenuti misti distingue richieste aggiornabili e bloccabili. Il comportamento reale dipende anche dalle regole del browser e dalle politiche di sicurezza. Questa classificazione del sorgente non valuta tutte le eccezioni, inclusi gli indirizzi locali potenzialmente attendibili. Non considerare ogni riga rossa una prova che un browser specifico abbia bloccato la richiesta.
Le destinazioni dei moduli sono una categoria separata. La sezione sull’invio dei moduli della specifica dei contenuti misti tratta gli avvisi del browser separatamente dai normali controlli delle risorse. Screpy non invia questi moduli e non determina quali informazioni raccolgano. Esamina lo scopo del modulo reale senza inviare dati sensibili di prova a una destinazione non verificata.
Risali dai risultati raggruppati al sorgente
La tabella riunisce occorrenze con lo stesso elemento, attributo, classificazione e URL risolto. Lo stesso indirizzo in un elemento o attributo diverso può quindi occupare un’altra riga. La riga mostrata è la prima occorrenza del gruppo nell’HTML recuperato, non necessariamente una riga del tuo editor di template.
Questo frammento fittizio contiene quattro riferimenti HTTP:
<script src="http://static.example.com/site.js"></script>
<img src="http://static.example.com/logo.png" alt="Example homepage">
<img src="http://static.example.com/logo.png" alt="Example homepage">
<form action="http://example.com/contact/" method="post"></form>
| Gruppo | Occorrenze | Classificazione |
|---|---|---|
script[src] che termina con /site.js |
1 | Bloccabile |
img[src] che termina con /logo.png |
2 | Possibile aggiornamento |
form[action] che termina con /contact/ |
1 | Destinazione modulo non sicura |
Il riepilogo conta un riferimento bloccabile, due possibili aggiornamenti e un riferimento di modulo: quattro occorrenze in tre righe. Non significa quattro file unici o quattro richieste di rete confermate. L’esempio illustra il raggruppamento del rapporto, non una scansione reale o un modulo di contatto completo e funzionante.
Trova ogni occorrenza di un riferimento ripetuto nel contenuto o componente condiviso responsabile. Correggere soltanto la prima riga mostrata può lasciare invariata un’altra istanza. Esamina il testo sorgente reale intorno a quella riga prima di identificare il campo del CMS, l’impostazione del tema o il template che lo genera.
Controlla gli URL di base prima di modificare percorsi relativi
L’URL della risorsa mostrato viene risolto rispetto alla base effettiva del documento. Senza una base personalizzata, i percorsi relativi usano l’URL finale della pagina. Un <base href> HTTP può invece far risolvere un riferimento relativo su HTTP anche se la pagina è stata recuperata tramite HTTPS.
Per una pagina fittizia servita da https://example.com/guides/setup/, considera questo frammento:
<head><base href="http://static.example.com/assets/"></head>
<body><img src="logo.png" alt="Example homepage"></body>
L’immagine si risolve in http://static.example.com/assets/logo.png, non in un file sotto la directory della pagina HTTPS. Anche un riferimento relativo al protocollo come //static.example.com/assets/logo.png usa lo schema della base. Eliminare soltanto http: non garantisce quindi una destinazione sicura.
La documentazione HTML di base spiega come la prima base applicabile controlla gli URL relativi. Esamina insieme la base e la posizione prevista del file. Cambiarla può influire su altre risorse, navigazione e destinazioni dei moduli; non rimuovere una base intenzionale senza valutarne gli effetti. Un indirizzo HTTPS esplicito e funzionante può rendere più chiaro il cambiamento desiderato.
Sostituisci il riferimento non sicuro con una destinazione HTTPS funzionante
Inizia dove viene generato il riferimento. Un vecchio URL di immagine può essere in un campo dell’articolo, in un’impostazione del logo o in un template condiviso; uno script incorporato può provenire dal codice di un’integrazione. Correggi quell’origine invece di modificare HTML generato che la pubblicazione successiva sovrascriverà. Evita di sostituire indiscriminatamente stringhe http:// non correlate in tutto il sito.
Controlla la destinazione HTTPS proposta prima di usarla. Deve restituire l’immagine, lo script o l’altra risorsa prevista senza reindirizzamenti inattesi, schermate di accesso o contenuti diversi. Questo controllo non ha eseguito tale richiesta. Passare http://static.example.com/site.js a HTTPS può fallire se l’host non serve lo stesso file in modo sicuro.
Se una dipendenza esterna non ha una versione sicura adatta, chiedi un’alternativa supportata o valuta se rimuovere o sostituire la funzione. Non inserire di nascosto un file estraneo solo per eliminare un risultato. Per un modulo, verifica l’endpoint ricevente e il comportamento previsto, non soltanto la scrittura dell’indirizzo.
Una Content Security Policy con upgrade-insecure-requests può cambiare le richieste del browser lasciando i riferimenti HTTP nel sorgente. Come spiega la documentazione della direttiva, una risorsa HTTPS non disponibile può fallire senza ripiegare su HTTP. Non è una prova che tutte le risorse aggiornate funzionino. Usa il controllo degli header HTTP per ispezionare separatamente le intestazioni dichiarate; non sostituire alla cieca una politica esistente e non disattivare le protezioni del browser per nascondere il problema.
Verifica il sorgente pubblicato e le richieste del browser
Conserva il rapporto originale insieme al cambiamento previsto prima di intervenire. Il download JSON mantiene risultati e gruppi conservati; scegliere una categoria cambia la tabella, non il download del rapporto completo. Lo strumento non offre esportazione CSV o riparazione automatica.
- Pubblica contenuto, impostazione o template corretti, poi controlla la stessa pagina HTTPS quando la risposta aggiornata è disponibile.
- Confronta URL, elemento, attributo e numero di occorrenze interessati. Un totale minore può nascondere un altro riferimento rimasto: esamina le righe, non soltanto il riepilogo.
- Apri la pagina in un browser e controlla avvisi della console e richieste di rete. Prova l’immagine, il media o la funzione coinvolta; il rapporto sorgente non esegue queste interazioni.
- Ricontrolla altre pagine che usano lo stesso template modificato. Una homepage corretta non dimostra che tutti i prodotti o articoli siano stati sistemati.
La guida al pannello di sicurezza di Chrome spiega come passare dalle origini non sicure alle richieste di rete corrispondenti. Le osservazioni nel browser possono rivelare richieste create da script o stili che questo strumento di solo sorgente non esamina. Possono anche mostrare una richiesta aggiornata o bloccata mentre il sorgente originale contiene ancora HTTP.
Mantieni distinte queste osservazioni: un riferimento sorgente corretto e una richiesta riuscita nel browser rispondono a domande diverse. Nessuno dei due dimostra da solo che tutti i contenuti, ogni browser o l’intero sito siano sicuri.
Comprendi risultati assenti e copertura parziale
Il controllo accetta fino a 2 MiB di HTML e conserva fino a 1.000 riferimenti HTTP in 200 righe raggruppate. Se un limite impedisce di conservare ulteriori dati, la copertura diventa parziale e il totale completo è sconosciuto. Il riepilogo descrive allora la parte conservata, non ogni riferimento del documento. Un sorgente non recuperabile o oltre il limite HTML rende invece il controllo richiesto non disponibile.
Nessun risultato significa che nell’ambito sorgente esaminato non sono stati trovati riferimenti HTTP supportati. Non include richieste generate da JavaScript, valori CSS url(), contenuti dei fogli di stile esterni, documenti dei frame annidati o tutti i possibili attributi. Non segue nemmeno i reindirizzamenti delle risorse: leggere un attributo iniziale HTTPS non stabilisce se il file venga poi reindirizzato a HTTP.
I normali link di navigazione sono esclusi, compreso un collegamento ordinario a una pagina HTTP. Il comportamento dei download e la sicurezza della destinazione richiedono una verifica separata; l’assenza nella tabella non li approva. Usa l’analizzatore dei link interni per domande sui link in uscita invece delle risorse incorporate.
Per un rapporto parziale, conserva l’ambito con il download JSON e approfondisci separatamente i riferimenti restanti. Eliminare le righe mostrate non prova che quelle omesse siano corrette. Ripeti il controllo dopo le modifiche e conserva il rapporto precedente per distinguere una correzione confermata da dati mai verificati.