La chiamata all'endpoint non sicuro da un sito Web viene eseguita in HTTPS - nginx

Question

La mia applicazione è in esecuzione in HTTPS con un certificato valido da una delle autorità note. Sfortunatamente sto usando un'API di terze parti che non supporta HTTPS.

Il risultato è il messaggio noto Contenuto misto: mydomain.com ha richiesto un endpoint XMLHttpRequest non protetto .

E 'possibile aggiungere un'eccezione al server Web per consentire di chiamare questa API non sicuro !! Sto usando Nginx BTW.

Se non ciò che può essere altre possibilità per risolvere questo problema.

Ho una soluzione, ma non piace perché sarà un inconveniente prestazioni:

implementare un'API che agisce come proxy, ricevono le richieste dall'applicazione attraverso HTTPS e rendere le richieste ai l'API di terze parti genera HTTP.

Answer 1

anch'io ho avuto questo problema. Dovrebbe venire tutto su una pagina e richiedere https se si sta utilizzando https e non si desidera ricevere avvisi/errori. Non è necessario implementare un'API per il proxy se si utilizza nginx. Qualunque cosa realizziate sarà un successo in termini di prestazioni, come si suppone correttamente. Basta usare il proxy pass in nginx. Nella nostra configurazione, abbiamo:

location /thirdparty/ { 
     proxy pass http://thirdpartyserver/; 
} 

Avviso la barra finale nel passaggio proxy, io continuo a tutte le terze parti che sono api http in https://myserver/thirdparty/requesturl. La barra finale rimuove la terza parte mentre effettua una richiesta. Così diventa, http://thirdpartyserver/request

di riferimento ufficiale: http://nginx.org/en/docs/http/ngx_http_proxy_module.html#proxy_pass

Answer 2

Per consentire contenuti misti, i singoli utenti devono consentirli nei loro browser. Consentire il contenuto HTTP da una fonte è sufficiente a compromettere la sicurezza di HTTPS, quindi i browser vietano i contenuti misti per impostazione predefinita. Le soluzioni che vedo sono:

1. Come liberarsi di HTTPS (che io non lo consiglio)
2. a fare quello che ha suggerito e le richieste dei proxy attraverso (questo non è ancora grande sicurezza-saggio)
3. Sbarazzarsi del contenuto HTTP

Google ha alcune raccomandazioni per gli sviluppatori sotto il punto 1 (ma sono fondamentalmente eco sopra): https://developers.google.com/web/fundamentals/security/prevent-mixed-content/fixing-mixed-content#step-1