Mixed content treedt op wanneer initiële HTML wordt geladen via HTTPS, maar andere bronnen (zoals afbeeldingen of scripts) worden geladen via onbeveiligd HTTP. Dit creëert beveiligingskwetsbaarheden aangezien deze onbeveiligde bronnen tijdens transport kunnen worden gewijzigd. Moderne browsers blokkeren mixed content standaard, en beveiligingsbest practices vereisen dat alle bronnen via HTTPS worden geserveerd.
Mixed content ontstaat wanneer een pagina die via HTTPS wordt geleverd subresources via platte HTTP binnenhaalt. Het bovenliggende document is versleuteld en geauthenticeerd, maar de onveilige verzoeken voor scripts, stylesheets, afbeeldingen, lettertypen of XHR/fetch-verzoeken zijn dat niet. Browsers delen het in twee categorieën in. Actieve mixed content, zoals scripts, stylesheets, iframes en fetch-aanroepen, kan de hele pagina veranderen en wordt door moderne browsers ronduit geblokkeerd. Passieve mixed content, zoals afbeeldingen, audio en video, kan de pagina niet herschrijven maar lekt nog steeds en kan worden verwisseld, dus browsers upgraden of blokkeren het ook steeds vaker. Het hangslotpictogram dat een gebruiker ziet weerspiegelt het bovenliggende document, en juist daarom is stille mixed content misleidend.
Een HTTP-subresource reist ongeauthenticeerd over het netwerk, dus iedereen die zich tussen de gebruiker en de server bevindt, op gedeelde wifi, een malafide router of een gecompromitteerde upstream, kan het onderweg lezen of herschrijven. Het herschrijven van een via HTTP geladen script is feitelijk het injecteren van willekeurige JavaScript in een verder beveiligde pagina: de aanvaller erft de origin van de pagina en kan sessietokens stelen, formuliergegevens naar buiten sluizen of een skimmer plaatsen. Zelfs passieve assets kunnen worden aangepast voor content-spoofing of gebruikt om referrer- en cookiesignalen te lekken. Mixed content ondermijnt ook stilletjes de garanties die HTTPS moest bieden en geeft gebruikers een vals gevoel van een volledig beschermde sessie terwijl er een zwakke schakel openstaat.
Serveer elke resource via HTTPS en verwijs naar assets met protocol-relatieve of absolute https-URL's. De CSP-directive upgrade-insecure-requests vertelt de browser om in aanmerking komende HTTP-subresource-verzoeken automatisch naar HTTPS te herschrijven, en block-all-mixed-content laat de rest hard mislukken; door deze te combineren met HSTS blijft het hele afleverpad versleuteld. Controleer third-party-embeds, die een veelvoorkomende bron van verdwaalde HTTP-aanroepen zijn. Omdat mixed content fundamenteel over transport gaat, is de rol van cside hier indirect: het beheert geen certificaten, maar door third-party-scriptpayloads te proxyen en te analyseren kan het signaleren wanneer een geladen script zich kwaadaardig gedraagt, ongeacht welk transport het afleverde, en een forensisch verslag bijhouden van wat er daadwerkelijk draaide.
Dat is passieve mixed content. Een HTTP-afbeelding kan de pagina niet herschrijven, dus browsers stonden dit van oudsher toe met een afgezwakte beveiligingsindicator in plaats van het volledige hangslot. Nieuwere browsers kunnen het automatisch upgraden of blokkeren, dus de schoonste oplossing is om de afbeelding via HTTPS te serveren.
Actieve mixed content, zoals scripts, stylesheets en iframes, kan de hele pagina veranderen, dus browsers blokkeren het. Passieve mixed content, zoals afbeeldingen, audio en video, kan alleen de resource zelf beïnvloeden, dus dit werd van oudsher toegestaan met een waarschuwing, hoewel browsers het inmiddels steeds vaker upgraden of blokkeren.
We answer client-side security questions every day. Bring yours.