Pb avec la gestion de la sécurité https et les appels à des pages externes

[coco-mh]

Détails techniques

Version du forum : phpBB3
Poste occupé : Membre
Navigateur(s) concerné(s) : Mozilla Firefox, Google Chrome
Personnes concernées par le problème : Tous les utilisateurs
Problème apparu depuis : Autour du 28/05/2021
Lien du forum : https://mokkorihunter.forumactif.com/

Description du problème

Bonjour

Je me permets de vous contacter en espérant que vous pourrez nous aider.
La modératrice que j'ai contacté n'arrive pas à joindre l'administratrice du domaine et l'accès au forum rame pour tout le monde depuis fin mai (8 secondes pour afficher par page approximativement).

J'ai un peu analyser ce qui se passe et voilà le problème:
- quand on se connecte sur la page d'accueil, forumactif envoie la valeur upgrade-insecure-requests pour le paramètre content-security-policy (c'est vérifié quand on affiche la partie "response" de la requête via les outils de développement du navigateur web)

- ce paramètre impose au navigateur de transformer toutes les requêtes HTTP présente dans la page en requête HTTPS (cf cette page https://developer.mozilla.org/fr/docs/Web/HTTP/Headers/Content-Security-Policy/upgrade-insecure-requests)

- or certaines ressources du forum (à commencer par le css et certains appels php) se situent sur un site externe (mokkorihunter.free.fr ) qui n'est pas disponible en https

Donc les appels n'aboutissent pas et le fonctionnement est dégradé

Pouvez-vous désactiver le https ou au moins la valeur upgrade-insecure-requests de l'option content-security-policy de façon à retrouver un affichage normal ?

Merci d'avance pour votre aide

[Pinguino]

Bonjour,

C'est fait

[coco-mh]

Bonjour Pinguino

Merci pour ton intervention.

Pour ceux qui ont le problème que moi, quelques informations complémentaires:
Pour rétablir le fonctionnement normal il est impératif de soit désactiver entièrement le SSL, soit de l'activer partout.
En effet, si on reste sur un fonctionnement hybride (ce qui s'appelle le mixed-content), il faut modifier la configuration de son navigateur pour autoriser explicitement l'affichage du contenu non-sécurisé (pour des raisons de sécurité, c'est désactiver par défaut sur toutes les versions plus ou moins récentes des navigateurs)