免費參與·100+跨境活動 
免費下載·4000+跨境資料 
免費學習·2000+直播課程 
免費加入·15萬+賣家交流群 
2019-10-14 10:26
據悉，谷歌Chrome已于10月7日宣布了可能影響電子商務網站的重要更改。
這些更改解決了網頁上的“Mixed Content”（混合內容）問題。除了文本之外，典型的web頁面還包括圖像、音頻文件和視頻。額外的非文本資源通常作為HTTP請求而不是HTTPS加載。HTTP請求會造成安全風險，谷歌的目標是在即將到來的更改中糾正這一風險。
Chrome 77是目前較穩(wěn)定的版本。更改將在三個月內進行，如下所示。
（1）2019年12月，Chrome 79版本將提供用戶設置以覆蓋Chrome 80和81的默認更改，這兩個版本計劃在2020年1月和2月發(fā)布。
（2）2020年1月，Chrome 80將強制升級音頻和視頻資源以使用HTTPS。如果未將其作為HTTPS加載，Chrome將阻止他們。用戶可以使用在Chrome 79中引入的設置取消阻止，但是導航欄仍會針對不安全的資源顯示“不安全”警告。
（3）2020年2月，Chrome 81將強制升級圖片至HTTPS。如果未以HTTPS的方式加載，Chrome將會阻止它們，同樣，用戶也可以解除阻止。
建議賣家請遵循以下步驟，以確保這些更改不會影響你未來的電子商務銷售。
1、檢測混合內容
任何網站，無論是電子商務還是其他網站，都應以HTTPS加載。
混合內容會給最終用戶帶來隱私和安全問題，因為它可能會將信息泄漏給潛在的攻擊者。大多數瀏覽器會自動阻止代碼執(zhí)行資源，如腳本和iframe。但是圖像、音頻和視頻仍然沒有被屏蔽。這種情況將從明年1月開始改變。
Chromium博客在10月3日的帖子中解決了該問題。
“瀏覽器默認情況下會阻止許多類型的混合內容，如腳本和iframe，但是仍然允許加載圖像、音頻和視頻，這將威脅到用戶的隱私和安全。例如，攻擊者可以篡改圖表的混合圖像誤導投資者，或者將跟蹤cookie注入混合資源負載中。加載混合內容還會導致瀏覽器安全UX的混亂。”
你可以檢查你的網站是否有混合內容。瀏覽頁面并在地址欄中尋找“鎖定”圖標。當出現混合內容時，它會更改信息圖標(“i”)。
你可以通過Chrome開發(fā)者工具的“Network”標簽在搜索框中輸入“mixed-content”以獲得混合內容資源列表。
手動檢查每個電子商務網站頁面是不可行的。 Screaming Frog（尖叫青蛙）、DeepCrawl（深度爬蟲），或類似的網絡爬蟲可以代為處理這些繁雜的工作。
如果要在Screaming Frog中進行檢查，請對你的網站進行爬網，然后轉到Reports>Insecure Content。這一步驟將列出未安全加載的資源。
Screaming Frog和其他網絡爬蟲只能檢查你的網站鏈接的頁面。他們不會將商品添加到你的購物車中，也不會遵循結賬渠道。為此，請手動跟蹤結帳渠道，同時注意地址欄中的鎖定或信息圖標。
2、如何修復？
有幾個方法可以修復混合內容。如果你的網站未加載來自第三方網站的圖像、音頻和視頻，則只需將所有資源URL設為相對。例如，使用/image/product.png而不是http://www.sitestore.com/image/productA.png。相對URL將始終正確解析。
如果你在未啟用HTTPS的情況下將這些資源托管在第三方站點中，請考慮制作副本，從站點加載這些資源并相應地更新鏈接。
另一個方法是設置web服務器以使用內容安全策略，該策略將告訴web瀏覽器哪些內容是允許的，哪些是不允許的。
CSP中有許多潛在的指令。在某個場景中，我們對“upgrade-insecure-requests”感興趣。當web服務器指定該指令時，瀏覽器將通過HTTP響應標頭強制使用HTTPS加載所有資源，如下所示：
Content-Security-Policy: upgrade-insecure-requests（內容安全策略：不安全升級請求）
最后一個方法是手動修復鏈接的源代碼。這需要做更多的工作，但可以避免瀏覽器兼容性問題。
（編譯/雨果網 呂曉琳）
【特別聲明】未經許可同意，任何個人或組織不得復制、轉載、或以其他方式使用本網站內容。轉載請聯系：editor@cifnews.com
