Waarschuwing

[Professor Puntje]

Zojuist viel mij in de adresbalk van mijn browser (Mozilla Firefox) een waarschuwing op:
 

waarschuwing.png (20.98 KiB) 4683 keer bekeken

 

[Benm]

Krijg je meer info als je erop klikt?
 
Chrome geeft de site overigens ook niet als secure weer: In de source zie ik dingen als 
 
<li itemscope itemtype="http://data-vocabulary.org/Breadcrumb">
 
wellicht is dat de reden dat de browser denkt dat er insecure zaken geladen worden?
Frappant is dat het niet altijd gebeurd, bij andere topics zie ik wel gewoon een slotje, en nu ik voor de 2e keer naar dit topic kijk ook... misschien heeft het iets met advertenties van doen die ik door adblock normaliter niet zie?

[Jorim]

Ik heb geen problemen in Firefox.... Mocht browser wat uitmaken...
 
Een aantal vragen:
- Hebben jullie dit overal? Zo niet, waar wel?
- Zien jullie advertenties? Mochten jullie dit niet overal hebben, heb je het dan als je advertenties ziet?
 
Edit:
Ik lees nu net Benm zijn laatste regel goed. Advertenties zouden een goede oorzaak kunnen zijn. Zeker bij het soms wel en soms niet...

[Ger]

Het betreft een waarschuwing betreffende zogeheten mixed content.
 
Wetenschapsforum communiceert met je browser over een versleutelde verbinding over [acroniem='Transport Layer Security']TLS[/acroniem], voorzien van een [acroniem='Secure Sockets Layer']SSL[/acroniem] certificaat. Dat valt te zien aan de S in HTTPS respectievelijk de informatie achter het normaliter groene slotje. 
 
Op sommige pagina's, bijvoorbeeld in dit bericht zit inhoud die niet van onze server komt en ook niet versleuteld is (het plaatje van de wielklem). Hetgeen je dus uiteindelijk door de browser wordt voorgeschoteld is niet allemaal even goed beveiligd. Dat zegt echter niet dat het onveilig is, het plaatje in kwestie is onschuldig. Maar aangezien de beveiligingslaag van TLS ontbreekt en de server die het serveert ook geen certificaat heeft is geeft je browser aan dat de mogelijkheid bestaat  dat er e.e.a. afgeluisterd c.q. veranderd wordt onderweg. Een groen slotje tonen geeft dan een vals gevoel van veiligheid.

[WillemB]

Dit krijg je te zien, inderdaad mix inhoud:
 
 

Waarschuwing.png (26 KiB) 4674 keer bekeken

 
 

[Xilvo]

In Chrome (ingelogd): Slotje te zien. Zodra ik op afbeelding in #1 klik is slotje weg, 'verbinding met deze site is niet geheel beveiligd'.
Blijft zo ook als ik afbeelding sluit. Na verversen van de pagina is slotje terug.
 
In FireFox (niet ingelogd) blijft het slotje tijdens deze handelingen staan.
 
In beide browsers is een ad-blocker actief.

[Miels]

Ger heeft 't helder beschreven:
 
Als op een pagina die via een beveiligde verbinding wordt getoond (dus https, wat Wetenschapsforum zelf standaard gebruikt) ook inhoud zichtbaar is die van een externe bron komt via een onbeveiligde verbinding (http, zonder s) krijg je de betreffende waarschuwing. Wat inderdaad betekent dat er niet gegarandeerd kan worden dat er niet met de externe inhoud is geknoeid of dat anderen het af hebben kunnen vangen.
 
De kans bestaat dat de externe bron ook via httpS aangeroepen kan worden. Als dat het geval is zouden we de link aan kunnen passen. Maar dat zou dus een handmatige controle & actie vergen voor ieder bericht waarin ooit een externe bron via http in is gebruikt.

[Professor Puntje]

Goed - dank voor alle antwoorden. Ik heb er zelf verder geen verstand van, maar het leek mij het beste de waarschuwing in de adresbalk hier even te melden.

[Ger]

Er valt op zich wel wat aan te regelen om zulks te voorkomen, voor Wetenschapsforum is daar momenteel nog niet de noodzaak en mankracht voor. Leuk stukje hierover: https://tweakers.net/reviews/4555/3/tweakers-stapt-over-op-https-mixed-content.html
 
Ik heb het wel op de radar staan om eventueel in de toekomst in te bouwen maar zolang het grootste risico een uitroeptekentje in een adresbalk is zijn er genoeg andere prio's

[Benm]

Tja, er gevaarlijk is het allemaal niet, maar mensen schrikken van dergelijke meldingen. 
 
Als je weet hoe het technisch werkt is het ontbreken van een slotje of zelfs tonen van een rood uitroepteken niet direct alarmerend, maar er zullen genoeg mensen zijn die in het laatste geval direct de indruk krijgen dat hun computer gehacked wordt of iets dergelijks. Mijns inziens paniekzaaierij door de browserontwikkelaars, maar als developer moet je er toch wat mee. 
 
Wat tweakers doet is slim: heel veel content is domweg -ook- via https beschikbaar, zoals dat plaatje:
 

... als het goed is krijg je nu geen mixed content waarschuwing. 

[Xilvo]

@ Benm
 
Bij mij (Chrome) gebeurt er precies hetzelfde als bij het plaatje in #1 en krijg ik te zien wat in #5 getoond wordt.