Kiểm tra nội dung hỗn hợp

Cách sử dụng

1. Mở trang của bạn, xem mã nguồn và dán HTML vào đây.
2. Chạy kiểm tra.
3. Sửa mục Bị chặn trước — đó là phần đã hỏng sẵn với người truy cập.
4. Sao chép HTML đã nâng cấp để xem các tham chiếu sau khi sửa trông thế nào.

Tính năng

• Phân biệt nội dung chủ động bị chặn với nội dung thụ động được âm thầm nâng cấp.
• Đọc cả các ứng viên trong srcset và tham chiếu url() trong CSS, những thứ mà cách quét chỉ theo thẻ sẽ bỏ sót.
• Đưa ra dạng https của từng tham chiếu như cách khắc phục.
• Chạy trên HTML dán vào — không tải trang nào về, cũng không gửi gì đi.

Câu hỏi thường gặp

Vì sao biểu tượng ổ khóa biến mất dù trang trông vẫn bình thường?

Vì nội dung hỗn hợp thụ động thường vẫn hiển thị được. Trình duyệt nâng cấp một ảnh không an toàn lên HTTPS rồi vẫn hiện ảnh đó, nhưng trang không còn an toàn hoàn toàn nên chỉ báo thay đổi. Nội dung chủ động thì khác: script tải qua HTTP bị chặn hẳn, nên trang mất chức năng mà không hề báo lỗi cho người xem.

Vì sao phải dán HTML thay vì nhập một URL?

Vì một máy chủ đi tải bất kỳ URL nào người lạ nhập vào chính là lỗ hổng giả mạo yêu cầu — nó có thể bị trỏ tới các địa chỉ nội bộ trong mạng của chính nó. Kiểm tra này không cần máy chủ nào cả, nên trang được đọc ngay trong trình duyệt của bạn và không có gì được tải về.

URL kiểu //cdn.example.com có an toàn không?

Nó không phải nội dung hỗn hợp: nó kế thừa giao thức của trang, nên trên trang HTTPS thì tải qua HTTPS. Dù vậy vẫn nên thay bằng https:// tường minh — cách viết này là tàn dư từ thời một site phục vụ cả hai giao thức, và nó hoạt động khác đi khi trang được mở từ tệp trên máy.

Công cụ liên quan