OS X Entwicklerforum

Zitat von »Rosi-janni«

Guckuuuk!

Auf meiner Seite verwende ich ein SSL Zertifikat, um eine https Verbindung für Login/Registrierung zu machen.
Allerdings sagt Chrome, dass die Seite nicht sicher ist, da Ressourcen von anderen Quellen geladen werden, diese wären unsicher.

Also im Klartext heisst das, alles, was ich auf einer SSL Seite einbinde muss auch via https eingebunden werden? Also CSS Dateien, Bilder, JavaScript und so weiter?

Zitat von »Rosi-janni«

Das ist allerdings eine gute Frage, ich wollte nur wissen, ob das wirklich der Grund ist.
Ich bastle das erste Mal mit SICHEREN Seiten, deswegen. Klar habe ich mir das gedacht, aber ich war mir eben nicht sicher.

Danke schön!

Wie muss ich also Ressourcen 'sicher' einbinden? Auch eben über den <img src="https://…"> Weg, oder wie geht das dann?

Zitat von »Rosi-janni«

Ja fremd sind die ja nicht, die liegen ja auf dem gleichen Server.
Ich gebe nur immer den richtigen Pfad an. Also statt 'css/style.css' gebe ich eben 'http://asdf.xy/css/style.css' an, weil ich die Struktur ab und an anpasse und dann die Pfade stimmen sollen…

Zitat von »Rosi-janni«

Klar, kann ich den lustigen absoluten Pfad angeben, wenn das besser ist.
Das sieht nur so nach Vergewaltigung aus, wenn man auf einem vServer liegt.
Aber das versuche ich jetzt mal, danke!

Zitat von »Manfred Kreß«

Sicherheitstechnisch ist das sicher Mumpitz. An einem CSS oder Hintergrundbild das sich Arsch und Friedrich runterladen können etwas zu verschlüsseln.

Aber wie Gritsch schon sagte, man lädt halt alles per ssl runter. Wo verschlüsselt drauf steht, ist auch verschlüsselt drin.

Letztendlich geben die Browser dann eine Warnung aus. Das verunsichert die User und damit ist das ein KO Kriterium - wie du ja schon bemerkt hast.

Der Weg um den enormen Overhead zu umgehen (99% deines HTTP Request/Response/HTML/JS/CSS/IMAGE sind Overhead der verschlüsselt wird): Seite mit js machen und die Daten mit JSON o. Ä. hoch und runter schieben.

Zitat von »gritsch«

nein, es geht darum dass man keine externen resourcen laden soll/darf weil man ja nie weiß wer diese ändert und somit schadcode eingeschleust werden kann.

Zitat von »Manfred Kreß«

Zitat von »gritsch«

nein, es geht darum dass man keine externen resourcen laden soll/darf weil man ja nie weiß wer diese ändert und somit schadcode eingeschleust werden kann.

Er lädt ja nicht wirklich externe Ressourcen. Der Browser mäkelt halt, weil http und https zwei unterschiedliche URLs sind.

Aber was solls das auseinander zu dröseln. Alles oder nichts! Ja, und so lange man nicht Twitterentwickler ist oder für nen Webserver auf nem kleinen embedded System entwickelt, juckt das wirklich nicht wegen des bisschen overhead von 99%.

Zitat von »Manfred Kreß«

Er lädt ja nicht wirklich externe Ressourcen. Der Browser mäkelt halt, weil http und https zwei unterschiedliche URLs sind.