Безопасное соединение HTTPS для дневников

[Diary Spirit]

Для повышения безопасности мы добавили поддержку защищенного протокола HTTPS для всех субдоменов сайта.

В принципе, протокол HTTPS у нас был доступен и раньше через виртуальный адрес secure.diary.ru, но адреса дневников там выглядели некрасиво, через тильду: secure.diary.ru/~diary-spirit/.

Теперь мы установили сертификат безопасности, который позволяет использовать HTTPS в дневниках напрямую: https://diary-spirit.diary.ru

Новый сертификат безопасности поддерживается всеми браузерами, даже довольно старыми (как, например, IE8 для Windows XP SP2). На всех служебных страницах (главная страница, настройки, библиотека изображений и т.д.) пока действует старый сертификат, который в ИЕ8 и некоторых других старых браузерах может не работать. Со временем мы перейдём на новый сертификат и для служебных страниц тоже.

Полностью отказываться от незащищенного протокола HTTP мы пока не собираемся и вы можете продолжать использовать его.

Если вы находитесь на странице, адрес которой в строке браузера начинается с HTTP (незащищённое соединение), то все внутренние ссылки меню и опций на ней должны также вести на страницы с HTTP. И наоборот, если вы находитесь на HTTPS, то и все ссылки должны быть на HTTPS. Речь, естественно, идёт только о ссылках внутри Дневников, внешние ссылки могут вести куда угодно.

Наша рекомендация: добавьте в закладки https://www.diary.ru/ вместо прежней ссылки http://www.diary.ru/, чтобы использовать защищенное соединение постоянно.

Если вы заметите какое-то несоответствие, сообщите нам об этом в комментариях. Как обычно, просим точно формулировать проблему, приводя ссылки и, если необходимо для понимания, скриншоты.

Comments

[Tenno Seremel]

panthintime, это мера защиты от всего. В том числе подсовывания/подмены провайдером/сотовым оператором рекламы, эксплойтов, слежения за тем, что именно ты читаешь и т.д. Добро пожаловать в киберпанк. Время неуловимых Джо прошло, теперь мощности позволяют.

[Фиона.]

Я, возможно, не поняла или не увидела ответ, поэтому спрошу ещё раз. Если сначала страница (любая, но для простоты давайте говорить о главной) грузится в безопасном режиме, но в самый последний момент зелёный значок становится жёлтым - кто виноват и что делать? Винда 7, ФФ последней версии.

[нос]

Фиона., не заметили ваш вопрос, извините. Днем вам ответит специалист.

[gluker]

Фиона., значок становится желтым в тот момент когда загружается какой-то элемент страниц (скрипт, стиль, картинка и т.д.) через небезопасное соединение (http) в каждом конкретном случае нужно смотреть отдельно, что это за элемент и можно ли его загрузить через https

[Фиона.]

gluker, вот я и пытаюсь понять - что на служебных страницах загружается в самый последний момент.

[Reviving Phoenix]

Когда редактирую запись через https, после сохранения отображается не отредактированная запись, а первая страница дневника.

[Reviving Phoenix]

Кстати, та же песня и с "поднятием" записи. Но на первый взгляд, это даже плюс) А вот при "редактировании" такое очень неудобно.

[gluker]

Reviving Phoenix, исправлено

[.::::::::::.]

При сохранении настраиваемых кнопок через https получается такая вот ерунда: в форме комментария\записи вместо значков добавленных кнопок отображаются ссылки, причем как при картинках с самого дайри, так и при картинках из библиотеки изображений. При сохранении настроек из http всё возвращается в норму.
ФФ 56, кэш чищен, через другие браузеры не проверяла.

[Фиона.]

gluker, я правильно поняла, что вы тот самый специалист? Может, мы всё же попробуем докопаться до причины?

[gluker]

Фиона., сейчас на главной по http грузится счетчик mail.ru притом у нас в коде он прописан как https но майл редиректит на http

[Фиона.]

gluker, с этим что-то возможно сделать?

[gluker]

.::::::::::., исправлено

[Tenno Seremel]

gluker, раз пошла такая пьянка, можно заодно ещё и фон дневников грузить по http/https в зависимости от? А то прямо жизнь не мила особенно с некоторыми дизайнами, которые не любят проставлять цвет фона если, как они думают, есть картинка в фоне нужного цвета. Очень просим!

// Кажется у меня даже был пост в Техподдержке на эту тему. Или не был, уже не упомню всего теперь…(

[Reviving Phoenix]

gluker, большое спасибо!

[la_Distance]

Есть расширение вот это вот, с оповещениями о дискуссиях-умылах-прочем, по уведомлениям открывается хттп. Даже если я сижу через хттпс. Это должен разработчик расширения у себя что-то переделывать или это на самом дайри могут настроить? Просто не очень удобно.

[Линда Кайе]

la_Distance

Голосую за разработчика. У дайриков нет ни принудительного редиректа на HTTPS, ни HSTS.

[нос]

la_Distance, конечно, разработчик расширения должен сделать )

[Ратель]

Но я надеюсь, что до этого не дойдёт. ((с) - к/ф)

[Ташик]

Добрый день! Хотела уточнить, это я что-то не так делаю или общая проблема? Обратила внимание, что по https не грузится, кидает на http, даже если руками забить в начале адреса https

[Ishytori]

Хм, меня почему-то в какой-то момент перекинуло на http, но вручную на https перейти удалось

[нос]

меня почему-то в какой-то момент перекинуло на http

Ishytori, чтобы такое исправить, нужно точно знать где на какую ссылку вы нажали.

[Ishytori]

нос, подозреваю, была проблема в ссылках на дискуссии с главной (увы, заметила переход на http не сразу, а только после коммента здесь), но сейчас уже дискуссии нормально переправляют на https.

[Маруца]

а как бы так сделать, чтобы подписки на почту приходили с https-адресами?

[quirischa]

Маруца, пока никак

[dream city]

Сделайте переадресацию с 8080 на 443 порт, или как там это делают.
Захожу на сайт (в режиме инкогнито правда), ввожу https:// ввожу логин пароль и после авторизации я получаю Not Secure! и в какой момент часть моих данных стала потенциально уязвима?

Ну и даже если бы не этот баг (который делает ssl в принципе бестолковым, потому что данные риску все равно подвергаются), то запоминать вводить каждый раз https - тут и пользователю легко ошибиться. Даже если пользователь прое... извините скомпроментирует пароль по своей вине, он все равно вас может винить и портить репутацию.
Мы на приложениях с особо сенситив-данными вообще 8080 закрываем. Но все современные сайты для комфорта пользователя делают редирект.

И еще: Если ввести https :// diary .ru (без пробелов, а то на ссылку заменяет) - то есть без www, то редиректит опять таки на http (без s). Иногда даже не могу вспомнить, что мне там надо хитрое ввести, чтобы попасть таки на ssl-ный сайт.

[Tenno Seremel]

dream city, скорее всего какие-то данные грузятся по HTTP (например картинки). Если они самих @дневников, то это должно починиться с редизайном. Если в дневнике кто-то постил такие картинки, то тут не особо что сделать. Можно хотя в браузере выставить опцию пытаться загружать HTTP ресурсы по HTTPS если текущая страница HTTPS (зависит от браузера) и/или запретить загрузку HTTP содержимого на HTTPS страницах.

А редиректа с HTTP на HTTPS нет потому что пользователи старых OS (вроде WinXP) на это жаловались.

[dream city]

Tenno Seremel, winXP! вот это да! но ладно с ним с редиректом! как я описала во второй строке, при авторизации редиректит с https на http (без s). И это - действительно проблема

Я там not secure написала, это браузер пишет, потому что это http а не потому что картинке на зашифрованы.
https, но ругается на картинки:

http (нет ssl), ситуация после ввода логина и пароля на https://

[dream city]

и без www тоже редирект с ssl на сайт без ssl странный

[dream city]

Tenno Seremel, winXP капец, и вы их поддерживаете? сколько реально у вас таких пользователей? может быть, чтоит поддержку сократить, или отказаться, в пользу возможностей развития. поддержка много жрет на старых проектах. и порой отказ от маленького % оправдан, по этому пути прошли многие успешные проекты.