Contenido inseguro en iframe en la página segura

Question

Estoy en el proceso de desarrollar una aplicación para un cliente, que tendrá un certificado SSL y se servirá bajo https. Sin embargo, para integrarse con su sitio existente, quieren proporcionar su navegación dentro de un iframe.

Veo que esto causa problemas, ya que supongo que el navegador se quejará de la combinación de contenido seguro e inseguro en la página. He echado un vistazo a las preguntas similares aquí y todas parecen referirse a esto al revés (contenido seguro en el iframe).

Lo que me gustaría saber, entonces, es: ¿causará problemas tener contenido inseguro incluido dentro de un iframe, colocado en una página segura, y en caso afirmativo, qué tipo de problemas serían?

Idealmente, si no es una buena idea (y tengo la fuerte sensación de que no lo es), debo ser capaz de explicar esto al cliente.

Answer 1

Si se está accediendo a su página utilizando https://www.example.com/main/index.jsp (SSL) a continuación, el navegador se quejará con "esta página contiene elementos seguros e inseguros" si hay recursos en el código HTML que se hace referencia con http:// (no SSL) . Esto incluye iframes.

Si su página de navegación se encuentra alojado en el mismo servidor, entonces puede evitar que el mensaje "contenido no seguro" mediante el uso de una dirección URL relativa así ...

<iframe src="/app/navigation.jsp" /> 

Desde su pregunta Parece que su página de navegación que se sirve de un host independiente y que está siendo forzado a usar algo como esto

<iframe src="http://otherserver.example.com/app/navigation.jsp" /> 

que, por supuesto, el mensaje "contenido no seguro" en su navegador.

Sus únicas soluciones son o bien

1. implementar SSL en el servidor de la celebración de su página de navegación para que pueda utilizar https:// para su referencia iframe o

2. el programa de navegación en el mismo servidor para que pueda usar una URL relativa.

Personalmente no puede ver por qué su navegación sería en un host diferente, porque entonces usted va a conseguir problemas de secuencias de comandos entre dominios de JavaScript (a menos que algún JSONP enrrollado está involucrado).

Answer 2

Si su página es http, entonces permite iframe con contenido https.

Pero si su página es https, entonces no permite el contenido http.

Permite anotar las siguientes posibilidades.

page - iframe - status 

http - http - allowed 
http - https - allowed 
https- http - not allowed 
https- https - allowed 

Answer 3

intente eliminar el http: caracteres en el valor del atributo src como tan:

<iframe src="//example.com/thefile.htm"></iframe> 

Esto es por supuesto una solución, la seguridad es importante, así que no pasar por alto alegremente, pero de todos modos esta vez tiene yo pasado un problema similar.