¿Por qué de repente aparece un problema de "Bloqueo de carga de contenido activo mixto" en Firefox?

Esta mañana, al actualizar mi navegador Firefox a la última versión (del 22 al 23), algunos de los aspectos clave de mi back office (sitio web) dejaron de funcionar.

Mirando el registro de Firebug, se informaron los siguientes errores:

Blocked loading mixed active content "http://code.jquery.com/ui/1.8.10/themes/smoothness/jquery-ui.css"
Blocked loading mixed active content "http://ajax.aspnetcdn.com/ajax/jquery.ui/1.8.10/jquery-ui.min.js"`

entre otros errores causados ​​por el último de los dos anteriores no se carga.

¿Qué significa lo anterior y cómo lo resuelvo?

Encontré esta publicación de blog que aclaraba algunas cosas. Para citar el bit más relevante:

¡El contenido activo mixto ahora está bloqueado por defecto en Firefox 23!

¿Qué es el contenido mixto?
Cuando un usuario visita una página servida a través de HTTP, su conexión está abierta para espionaje y ataques de hombre en el medio (MITM). Cuando un usuario visita una página servida a través de HTTPS, su conexión con el servidor web se autentica y encripta con SSL y, por lo tanto, se protege de escuchas y ataques MITM.

Sin embargo, si una página HTTPS incluye contenido HTTP, los atacantes pueden leer o modificar la porción HTTP, aunque la página principal se sirve a través de HTTPS. Cuando una página HTTPS tiene contenido HTTP, llamamos a ese contenido "mixto". La página web que está visitando el usuario solo está parcialmente encriptada, ya que parte del contenido se recupera sin encriptar a través de HTTP. El Bloqueador de contenido mixto bloquea ciertas solicitudes HTTP en páginas HTTPS.

La resolución, en mi caso, fue simplemente garantizar que las jqueryinclusiones fueran las siguientes (tenga en cuenta la eliminación del protocolo):

<link rel="stylesheet" href="https://code.jquery.com/ui/1.8.10/themes/smoothness/jquery-ui.css" type="text/css">
<script type="text/javascript" src="//ajax.aspnetcdn.com/ajax/jquery.ui/1.8.10/jquery-ui.min.js"></script>

Tenga en cuenta que el 'arreglo' temporal es hacer clic en el icono 'escudo' en la esquina superior izquierda de la barra de direcciones y seleccionar 'Desactivar protección en esta página', aunque esto no se recomienda por razones obvias.

ACTUALIZACIÓN: Este enlace de las páginas de soporte de Firefox (Mozilla) también es útil para explicar lo que constituye contenido mixto y, como se indica en el párrafo anterior, en realidad proporciona detalles sobre cómo mostrar la página independientemente:

La mayoría de los sitios web continuarán funcionando normalmente sin ninguna acción de su parte.

Si necesita permitir que se muestre el contenido mixto, puede hacerlo fácilmente:

Haga clic en el icono de escudo Escudo de contenido mixto en la barra de direcciones y elija Desactivar protección en esta página en el menú desplegable.

El icono en la barra de direcciones cambiará a un triángulo de advertencia naranja Icono de identidad de advertencia para recordarle que se está mostrando contenido inseguro.

Para revertir la acción anterior (volver a bloquear contenido mixto), simplemente vuelva a cargar la página.

Significa que estás llamando a http desde https. Puede usar src="//url.to/script.js"en su etiqueta de script y se detectará automáticamente.

Alternativamente, puede usar el uso de https en su srcincluso si lo va a publicar en una página http. Esto evitará el posible problema mencionado en los comentarios.

En ausencia de una función de lista blanca, debe hacer la opción "todo" o "nada". Puede deshabilitar completamente el bloqueo de contenido mixto.

La elección de nada

Deberá deshabilitar permanentemente el bloqueo de contenido mixto para el perfil activo actual.

En el "Awesome Bar", escriba "about: config". Si esta es su primera vez, recibirá el mensaje "¡Esto podría anular su garantía!" mensaje.

Sí, tendrás cuidado. Sí lo prometes!

Encuentra security.mixed_content.block_active_content . Establezca su valor en falso .

La elección

La respuesta de iDevelApp es asombrosa.

Coloque la <meta>etiqueta a continuación en la <head>sección de su documento para forzar al navegador a reemplazar conexiones no seguras (http) a conexiones seguras (https). Esto puede resolver el problema de contenido mixto si la conexión puede usar https.

<meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests">

Si desea bloquear, agregue la etiqueta a continuación en la <head>etiqueta:

<meta http-equiv="Content-Security-Policy" content="block-all-mixed-content">

Si está consumiendo un servicio interno a través de AJAX, asegúrese de que la URL apunte a https, esto me solucionó el error.

URL inicial de AJAX: " http://XXXXXX.com/Core.svc/ " + ApiName
URL AJAX corregida: " https://XXXXXX.com/Core.svc/ " + ApiName,

Se le dio el error debido a la seguridad. para esto use "https" no "http" en la URL del sitio web.

Por ejemplo :

   "https://code.jquery.com/ui/1.8.10/themes/smoothness/jquery-ui.css"
   "https://ajax.aspnetcdn.com/ajax/jquery.ui/1.8.10/jquery-ui.min.js"

En la página relevante que hace una llamada https a http de contenido mixto que no es accesible, podemos agregar la siguiente entrada en la correspondiente y eliminar el error de contenido mixto.

<meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests">

Tuve el mismo problema porque compré una plantilla CSS y tomó un archivo JavaScript externo a través de JavaScript http://whatever.js.com/javascript.js. Fui a esa página en mi navegador y luego lo cambié a https://whatever...SSL y funcionó, por lo que en mi etiqueta HTML JavaScript simplemente cambié la URL para usar en httpslugar de httpy funcionó.

Para forzar la redirección en el protocolo https, también puede agregar esta directiva en .htaccess en la carpeta raíz

RewriteEngine on

RewriteCond %{REQUEST_SCHEME} =http

RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

@Blender Comment es el mejor enfoque. Nunca codifique el protocolo en ninguna parte del código, ya que será difícil cambiarlo si se mueve de httpa https. Ya que necesita editar y actualizar manualmente todos los archivos.

Esto siempre es mejor ya que detecta automáticamente el protocolo.

src="//code.jquery.com

Descubrí que si tiene problemas para incluir o mezclar su página con algo como http : //www.example.com, puede solucionarlo colocando // www .example.com en su lugar

Tengo el mismo problema cuando mi sitio pasa de http a https. Hemos agregado una regla para todas las solicitudes de redireccionamiento de http a https.

Debe agregar la regla de redireccionamiento para la solicitud entre sitios, pero debe eliminar la regla de redireccionamiento para js / css externo.

Acabo de solucionar este problema agregando el siguiente código en el encabezado:

    <meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests">

Si su servidor de aplicaciones es weblogic, asegúrese de que la entrada WLProxySSL ON exista (y también asegúrese de que no se deba comentar) en el archivo weblogic.conf en el directorio conf del servidor web. luego reinicie el servidor web, funcionará.