SSL iframe встроен в другой веб-сайт

Question

Iframe из домена с SSL-сертификатом будет встроен на другом сайте (foo.com).

1. Должен ли foo.com иметь сертификат SSL?
2. Если foo.com имеет сертификат SSL, будет ли это ошибкой безопасности? У foo.com есть сертификат SSL для foo.com, но у домена iframe есть другой сертификат SSL.
3. Если foo.com не имеет SSL-сертификата, будет ли это ошибкой безопасности?

Answer 1

1. номер
2. Вы получите ошибку безопасности, только если сайт встраивания использует SSL, а iFramed - нет. Независимо от того, используют ли сайты разные сертификаты или нет, это не имеет значения.
3. Нет. (Разве это не тот же вопрос, что и № 1?)

Резюме

Наличие разных сертификатов между главной страницей и страницами iframed не является проблемой.

Встраивание https:// страниц с <iframe /> на страницу http:// не является проблемой.

Однако, если вы используете защищенную страницу https://, которая встраивает незащищенные страницы через http://, вы можете получить что-то вроде этого (Internet Explorer):

Это зависит от браузера и его настроек. Например, в IE вы можете отключить это:

Answer 2

Лучший способ взглянуть на iFrame - это увидеть его почти как отдельный браузер.В случае, если foo.com не SSL, а сайт iFramed является SSL, вы не получите никаких ошибок.

Если вы переключите это, когда foo.com имеет SSL, а сайт IFramed - нет, выможно получить предупреждение безопасности о смешанном контенте из браузера.

Answer 3

Неважно, если два сайта используют разные сертификаты SSL. Однако, если веб-сайт, на котором создается iframe, не защищен SSL, вы получите частично зашифрованное сообщение об ошибке, даже если веб-сайт с встроенным iframe защищен SSL. Я знаю это только потому, что сейчас я имею дело с этим. Моя веб-страница была защищена только после того, как я вынул веб-сайт iframed, который не имел защиты SSL.

Answer 4

Хотя основной веб-сайт (который содержит iframe) не должен использовать SSL, он действительно должен, по крайней мере, если безопасность является проблемой (что является смыслом использования SSL).

В противном случае пользователь не может проверить, действительно ли iframe обслуживается безопасно и с какого сайта, что делает использование SSL бесполезным. (Примеры здесь .)