SSL Mixed Content (+ Cloudflare)

[Dave]

Hi,

Ich spiele mich gerade ein wenig mit den Cloudflare Settings. Habe das SSL Mixed Content Problem, also sobald jemand einen Link postet wie z.B http://test.com - kommt im Browser eine kleine Warnung das Teile des Forums unsicher sind. Habe bei Cloudflare Automatic HTTPS Rewrites auf ON gestellt, aber auch das hilft nichts. Würde es helfen SSL auf FULL zu stellen? Nur sobald ich das mache habe ich keinen Zugriff mehr auf das Forum, es kommt dann nur eine Meldung das Apache funktioniert.

Kennt sich da jemand aus? :emoji33:

[Celv]

Es kommt eine Meldung das Apache funktioniert? Scheint ein vHost Config fehler zu sein.
Bei normal geposteten Links ändert sich normalerweise aber nicht das Icon des Browsers, sondern nur bei Bilder, Frames oder der gleichen, welche ohne https eingebunden werden.

[Nimbus]

Für Full muss dein Webspace/Server HTTPS aktiviert und konfiguriert haben. Von deiner Beschreibung her denke ich, dass das nicht der Fall ist.

Die Fehlermeldung an sich kommt daher, wie du die Bilder (oder andere Ressourcen) eingebunden hast. Beim einbinden musst du überall ein HTTPS anstelle eines HTTP haben. Wie das genau geht hängt etwas davon ab, wie deine Seite funktioniert/aufgebaut ist. CloudFlare kann das allerdings nicht automatisch für dich übernehmen.
Zusätzlich müssen auch externe Inhalte von anderen Seiten per HTTPS geladen werden. Bei einem Forum betrifft das dann z.B. auch oft Bilder, die User per Link einbinden. Hier musst du mit einem Image-Proxy oder einer Whitelist für HTTPS-URLs arbeiten.

[Dave]

Es kommt eine Meldung das Apache funktioniert? Scheint ein vHost Config fehler zu sein.


Ja, die Meldung habe ich nun beheben können. Im Direct Admin Control Panel war unter der Domain kein SSL gesetzt.

Allerdings bleibt der Rest mit dem unsicheren Teil bestehen, sobald ein Link gepostet wird.

// Danke, Nimbus. Ich werde mal ein wenig Googlen.
// Allerdings ist mein Forum noch ein Test-Forum, also ich habe erstmal alles installiert. Bilder sind noch gar keine eingebunden.

[Nimbus]

Es können wie oben erwähnt auch alle möglichen anderen Ressourcen sein. Außerdem hat fast jedes Forum (bzw. Foren-Design) von sich aus bereits einige Bilder, die besonders, wenn das Forum ohne HTTPS installiert wurde, gerne mal per HTTP referenziert werden.
Identifizieren kannst du diese meist relativ einfach mit der Netzwerkkonsole deines Browsers.

[EVXN]

Ganz easy, irgendwo habt ihr noch eine http:// verlinkung (zu einer js, css oder img datei)
Sobald diese auf HTTPS umgestellt wird, wird auch das mixed content problem verschwinden

[Celv]

Ganz easy
Seite aufrufen -> Strg + U -> Strg + F -> Nach http suchen

[Dave]

Alles was ich gefunden habe, war eine "howler.core.min.js" Datei ohne https. Jetzt ist die Frage wie sich das auf https:// umstellen lässt.

[Nimbus]

Celvs Tipp genügt in der Praxis oft nicht. Bilder, die z.B. per CSS eingebunden werden entdeckt man so z.B. nicht und wenn mich nicht alles täuscht, dann verursachen die diese Warnung auch.
Ich empfehle also die Netzwerkkonsole. Sobald ein File identifiziert ist kann man es dann aufspüren.

Wo genau man das umstellt hängt teilweise etwas vom Foren-System ab. Sehr oft muss man die Verweise von Hand korrigieren.
Eine sehr gute Anlaufstelle ist meist das Templatesystem. Einfach dort mal nach dem Dateinamen suchen. Alternative stellen sind: Plugin-System bzw. eventuell sogar irgendeine Stelle in irgendeinem File auf deinem Webspace.
Wenn man überhaupt nicht weiterkommt, dann hilft eventuell ein Durchsuchen der Datenbank. Anhand der Ergebnisse bekommt man eventuell eine Idee für den Verursacher.

Allgemein gilt: Wenn man im Quelltext schaut, wo die entsprechende Datei dazu gehört (Design, ein spezielles Plugin, Forensystem, ...), dann kann man sich einen groben Eindruck verschaffen, wo man weiter suchen. Dazu gehört aber eventuell etwas Erfahrung/Gespür.

[ndox]

Wäre doch viel einfacher, wenn du die Seite verlinkst oder jemandem per pm zeigst. Hast vielleicht etwas übersehen, reicht ja auch schon wenn nur ein Bild über http läuft damit es mixed content triggered.

[Smoky-Ice]

Mal gedacht auch mit .htaccess zu arbeiten auch dadurch lässt sich so etwas umgehen oder eben mit einem
Image-Proxy.
Oder eben im Quelltext das http://link zu //link ändern. Das leichteste wäre vielleicht erst einmal zu Verraten was du für eine Forensoftware
benutzt.

[Nimbus]

Mal gedacht auch mit .htaccess zu arbeiten auch dadurch lässt sich so etwas umgehen oder eben mit einem
Image-Proxy.
Nö. Hilft im Allgemeinen nicht. Damit kannst du z.B. umleiten. Ändert jedoch nichts an der Einbindung.