In Firefox 76 wird ein Modus nur für HTTPS eingeführt

In den nächtlichen Builds von Firefox, auf deren Grundlage am 5. Mai die Veröffentlichung von Firefox 76 erfolgen wird, wurde hinzugefügt optional Modus des «HTTPS Only»-Betriebs, bei dem alle unverschlüsselten Anfragen automatisch auf die gesicherten Varianten der Seiten umgeleitet werden («http://» wird ersetzt durch «https://»). Um den Modus zu aktivieren, wurde in about:config die Einstellung «dom.security.https_only_mode» hinzugefügt.

Die Ersetzung erfolgt sowohl auf der Ebene der auf den Seiten geladenen Ressourcen als auch bei der Eingabe in die Adresszeile. Der neue Modus löst das Problem der standardmäßig geöffneten Seiten, die «http://» verwenden, ohne die Möglichkeit, dieses Verhalten zu ändern. Trotz großer Fortschritte bei der Förderung von HTTPS in Browsern wird beim Eingeben einer Domain in die Adresszeile ohne Protokollstandard nach wie vor «http://» verwendet. Die vorgeschlagene Einstellung ändert dieses Verhalten und schaltet außerdem die automatische Umleitung auf «https://» bei expliziter Eingabe einer Adresse mit «http://» ein.

Wenn der Zugriff auf die Hauptseiten (Eingabe der Domain in die Adresszeile) über https:// mit einem Timeout endet, wird dem Benutzer eine Fehlerseite angezeigt, auf der eine Schaltfläche vorhanden ist, um die Anfrage über http:// auszuführen. Bei Fehlern beim Laden von Subressourcen über «https://», die während der Verarbeitung der Seite geladen werden, werden solche Fehler ignoriert, aber in der Web-Konsole werden Warnungen ausgegeben, die über die Entwicklertools eingesehen werden können.

In Chrome wird ebenfalls an der Blockierung unsicheren Ladens von Subressourcen gearbeitet. Beispielsweise war für die Veröffentlichung von Chrome 81 die Aktivierung eines neuen Schutzmodus gegen das Laden von gemischtem Multimedia-Inhalt (wenn auf einer HTTPS-Seite Ressourcen über das Protokoll http:// geladen werden) geplant. Auf Seiten, die über HTTPS geöffnet werden, werden beim Laden von Bildern Links «http://» automatisch durch «https://» ersetzt (in Chrome 80 wurde die Ersetzung für Skripte, iFrames, Audio- und Videodateien hinzugefügt). In zukünftigen Versionen von Chrome ist ebenfalls vor gesehen der Übergang zur Blockierung des Ladens von Dateien über HTTP.

Quelle: opennet.ru