混在コンテンツ（Mixed Content）

HTMLと、その中で指定したJavaScript・画像などは、別の要求で取得されます。HTTPの通信にはHTTPSによる通信保護がなく、通信経路で内容を見られたり変更されたりする危険があります。HTTPSのページがHTTPのscriptを取り込めば、そのscriptを通してページへ影響する恐れがあります。[M01 §1・M03]

主図は、そのHTTP scriptをブラウザが止める場面です。HTTPSで取得できたことだけでは、脆弱性がないことや、配信元を全面的に信頼できることは確認できません。

通常のドメイン名を使う<img src>、音声・動画などでは、ブラウザがHTTPの参照URLを、通信前にHTTPSへ変更する扱いがあります。これはHTTPで受信したデータを後から暗号化する処理ではありません。[M01 §4.1・M06]

<img src="http://cdn.example/banner.png" alt="案内バナー">

資源の拡張子だけで扱いは決まりません。通常の混在コンテンツ自動アップグレードでは、IPアドレス指定やimgのsrcset・pictureには対象外となる条件があります。localhost・ループバック等の信頼できるURLの例外もあるため、画像なら必ず成功するわけでも、HTTPなら例外なくすべて停止するわけでもありません。[M01 §4.1・M05]

CORS許可やintegrityを指定しても、それが主例のHTTP scriptを許可する根拠にはなりません。主図は、ほかの仕組みを同時に切り替えない例です。[M02]

Content-Security-Policy: upgrade-insecure-requests

このCSPによる書き換えは、通常の画像等の自動アップグレードとは範囲が異なり、scriptなども対象にできます。ただし配信先のHTTPS対応は別途必要で、HTTPSで使えなければHTTPへ戻りません。主図にはこの設定がないため、HTTP scriptは書き換えず止まります。[M04 §3.1・3.1.1・1.2.3]

HSTSも関連しますが、ページ内のすべての外部配信先へ一律の方針を設定するものではなく、役割・適用範囲が異なります。今回の主図はHSTS等による先行変更を含めません。[M04 §8.2]

古いblock-all-mixed-contentは現行Mixed Content公開仕様でobsoleteとされています。新しい設定として導入することは勧めません。[M01 §6.1]

• Web通信の中間者攻撃とTLS
• CORSの仕組み
• Content Security Policy（CSP）
• SRI（サブリソース完全性）

まずHTTP参照を特定し、同じ資源をHTTPSで配信できるか、内容と動作を確認してから参照先を更新します。接続・証明書・ファイルの有無を確認せず、文字列だけを置き換えて完了としません。HTTPSで提供できない資源は、適切に提供できるものへの変更等を検討します。[M03・M07]

確認する参照にはHTMLに書いたURLのほか、CSSやJavaScriptが生成するURLもあります。ブラウザのConsole・Network等の開発者ツールで、実際のページと資源の読み込みを確認します。保護を無効化して表示できれば修正完了、とは扱いません。[M07]

別オリジンかどうか、社内か社外かだけで混在コンテンツを判断するわけではありません。同じホスト名でも、HTTPSページがHTTP資源を参照すれば、この問題になり得ます。HTTPのページからHTTP資源を読むだけの例は、HTTPSページの混在コンテンツとは区別します。HTTPだけの通信が安全だという意味ではありません。[M01 §2・M03]

通常のリンクによる最上位ページへの移動、フォーム送信、ファイルのダウンロードには別の判定・扱いもあります。本教材の「送信前に停止」は、主図の条件の外部scriptについての説明です。すべての読み込み失敗を同じタイミングへ一般化しません。[M01 §4.4–5.2・7.1]