ホットリンクされた画像による混合コンテンツ

今朝、突然ブラウザのアドレスバーに、当フォーラムの「接続が安全ではありません」という警告アイコンが表示されているのに気づきました。すぐに「最新」投稿を確認し、ユーザーがアップロードした画像をチェックすることで、問題の原因となった画像を特定しました。httpリンクではなくhttpsリンクになっていない画像が2枚(Onebox表示)見つかりました。これらを削除し、代わりにリンクそのものを貼り付けました。すると即座に問題が解決し、緑色のセキュリティロックに戻りました。:grinning: 今では、私がメンバーになっている別のフォーラムでも「接続が安全ではありません」という警告が表示されている理由がわかりました。長年にわたり、多くの人がhttpサイトのリンクをOnebox表示でアップロードしていたためです。あのフォーラムで修正作業をする必要がなくて本当に良かったです!:wink:

画像が非常に大きくない限り、Discourse はサイトがデフォルト設定の場合、画像のリンク切れを防ぐために、それらのリモート画像をダウンロードしてローカル化します。これは Discourse において一般的な動作です。これにより、画像を HTTPS で提供するという追加の利点もあります。

有料版の Discourse を利用しており、デフォルト設定のまま変更は行っておりません。画像自体はわずか 18.5KB です。安全でない接続の警告を引き起こしたのは、http リンクを含む Onebox だけでした。それを削除すると、2 秒以内に鍵のアイコンが再び緑色に戻りました。ユーザーは、画像を大きく表示するために、Onebox の上に保存した写真をアップロードしましたが、それは問題ありませんでした。デフォルト設定を確認することはできます。

編集:デフォルト設定を確認しました。
crawl images: (チェックあり)リモート画像を取得…
download remote images to local: (チェックあり)リモート画像をローカル画像に変換…

変更は行われていません。

同じ画像リンクをここに貼り付けてみてください。確認できます。ローカルへのダウンロードを妨げる可能性があるのは、画像が非常に大きい場合だけだと思います。

リンクを貼り付けただけなのに、ワンボックス化されませんでした。ユーザーが使用した2番目のリンクも貼り付けましたが、これもワンボックス化されませんでした。その後、そのリンクを削除しました。なぜなら、そのリンクには写真のダウンロードに使用する彼女のユーザーアカウント番号が含まれていたからです。

ここでもワンボックス化されないのは不思議です。ちょうど今、フォーラムに新しい返信を作成し、リンクを貼り付けました。するとワンボックス化され、セキュリティのロックアイコンが緑色から黒色に変わり、警告の感嘆符アイコンが表示されました。そして、ワンボックス内には写真のリンクが壊れた状態で表示されています。

編集:ちょうど今、最初のワンボックス化に対してバッジを受け取りました。しかし、メタのここにはリンクしか表示されていません。:laughing:

奇妙ですね :thinking:

@nbianca 戻り次第、これを確認してもらえますか?

最初のワンボックスバッジが、長期間ワンボックス化されなかったリンクに対して付与されました。それが意図された動作だと思っていたので、驚きました。:roll_eyes:

これは、私のサイトで、「Onebox」されていたが、フォーラムのアドレスバーに「セキュリティ上危険」のアイコンが表示されていたリンクを削除した後に一度だけ発生しました。その後、そのリンクをメタに投稿したところ、Oneboxはされませんでしたが、バッジは表示されました。もう一つ奇妙なことに、そのリンクを自分のサイトで再投稿したところ、今度はOneboxされず、写真に対して「リンク切れ」のアイコンが表示されました。もしかすると、元のリンク(投稿者の顧客番号が末尾に付いていたもの)は、その顧客IDを削除したためにOneboxされなくなったのかもしれません。しかし、彼女は同じ投稿内で、ID番号を付けずに同じ写真リンクを投稿しており、それはOneboxされていました。本当に混乱しています。他の人々や元の投稿者による他のすべてのリンクは、それ以降私のサイトでOneboxされています。この事象の原因となったのは、この1つのリンクだけです。元投稿者(モデレーター)に、テストトピックを作成してリンクを報告してもらい、1) Oneboxされるか、2) アドレスバーの「ロック」アイコンが再び「セキュリティ上危険な接続」アイコンに変わるかを確認してもらうつもりです。少し不思議に思っています。:wink:

編集:私のサイトのメタカテゴリに非表示のトピックを作成しました。モデレーター(管理者権限も持っています)に、そのトピックにリンクを再投稿してもらうよう依頼しました。投稿され次第、ここで報告します。

編集2:こちらが、私のモデレーターがテストトピックに投稿したリンクです。Oneboxされ、ロックアイコンが再び「セキュリティ上危険な接続」に変更されました。ご覧の通り、ここでの投稿ではOneboxされませんでした。しかし、彼女が投稿した私たちのサイトではOneboxされました。そのリンクをコピーして私たちのテストトピックに投稿しましたが、Oneboxはされましたが、写真は表示されません!ご覧の通り、ここでの投稿ではOneboxされませんでした。これは、彼女の設定した追跡クッキーが関係しているのかもしれません。私にはそのクッキーがなく、リンクをOneboxしても写真が表示されません。

私たちのテストトピックへのリンクが必要ですか?それは私たちのメタカテゴリにある唯一の非表示トピックで、リストの一番上にあります。私たちは有料サブスクライバーです。(forum.nodders.net)

私の投稿したモデが、メタカテゴリ内のリンクを再度ワンボックス化し、「安全な接続」アイコンが緑色から黒色に変わり、オレンジ色の警告アイコンが表示されるようになりました。彼女が混合コンテンツに問題がないと述べていたため、(彼女に代わって)Mozilla(Firefox)から http、https、混合コンテンツの違いについて説明するリンクを投稿しました。:roll_eyes:

再度、安全なリンクに戻すために、彼女のリンクを削除します。もし再度投稿が必要であれば、彼女に再投稿を依頼します。

ここでワンボックス表示されない場合、対応のしようがありません。あなたのインスタンスは最新コードに更新されていますか?

昨日最後に確認したところ、ダッシュボードはそれより数時間前に更新されていました。Discourse は7月26日に2.4.0.beta2に更新されましたね?
そのリンクだけがこの問題の原因のようです。それがそのウェブサイトの私のモッドアカウントに関連しているのか、リンクがワンボックス化された際に「失われる」トラッキングクッキーなのかわかりません。当サイトからそのリンクを削除したところ、「安全な接続」に戻り、混合コンテンツの問題は解消されました。

問題は以下の場所で修正されました:

外部リンクを投稿した際、不安全なパスから特徴的な画像の読み込みを試みたため、混合コンテンツエラーが発生しました。

簡単な修正方法

  • /admin/customize に移動

  • 現在存在するすべてのテーマの に以下のコードを追加します。

<meta http-equiv="Content-Security-Policy" content="block-all-mixed-content">

私がテストした限りでは、Chrome で動作します。:hushed: