¿Qué es exactamente una advertencia de contenido mixto?

"Este sitio tiene contenido inseguro", "solo se muestra contenido seguro", "Firefox ha bloqueado el contenido que no es seguro". Ocasionalmente se encontrará con estas advertencias mientras navega por la web, pero ¿qué significa exactamente??

Hay dos tipos de contenido mixto: uno es peor que el otro, pero ninguno es bueno. Las advertencias de contenido mixto indican que hay algún problema con la página web que está visitando.

Que es Contenido Mixto?

Todo esto se reduce a la diferencia entre HTTP y HTTPS. HTTP es el tipo de conexión más utilizado: cuando visita un sitio web utilizando el protocolo HTTP, su conexión al sitio web no es segura. Cualquier persona que esté escuchando el tráfico puede ver la página que está viendo y los datos que está enviando de un lado a otro.

Es por eso que tenemos HTTPS, que es literalmente "HTTP seguro". HTTPS crea una conexión segura entre usted y el servidor web. La conexión está cifrada y autenticada, por lo que nadie puede interceptar su tráfico y usted tiene la seguridad de que está conectado al sitio web correcto. Esto es extremadamente importante para proteger las contraseñas de las cuentas y los datos de pago en línea, asegurando que nadie pueda escucharlos..

Las advertencias de contenido mixto indican un problema con una página web a la que se accede a través de HTTPS. La conexión HTTPS debe ser segura, pero el código fuente de la página web está obteniendo otros recursos con el protocolo HTTP inseguro, no HTTPS. La barra de direcciones de su navegador web dirá que está conectado con HTTPS, pero la página también está cargando recursos con el protocolo HTTP inseguro en segundo plano. Para asegurarse de que sabe que la página web que está utilizando no es completamente segura, los navegadores muestran una advertencia que dice que la página tiene contenido HTTPS y HTTP: contenido mixto, en otras palabras.

Por qué esto es peligroso

Aquí es por qué esto es realmente peligroso. Digamos que está en una página de pago y está a punto de ingresar el número de su tarjeta de crédito. La página de pago indica que se trata de una conexión HTTPS cifrada, pero aparece una advertencia de contenido mixto. Esto debería levantar una bandera roja. Es posible que los detalles de pago que ingrese puedan ser capturados por el contenido inseguro y enviados a través de una conexión insegura, eliminando el beneficio de la seguridad HTTPS: alguien podría espiar y ver sus datos confidenciales..

Debido a que HTTP no autentica el servidor web de la misma manera que lo hace HTTPS, también es posible que un sitio HTTPS seguro que extraiga un script de un sitio HTTP pueda ser engañado para que ejecute un script de atacante y lo ejecute en el sitio seguro. Cuando se usa HTTPS, tiene más garantías de que el contenido no se alteró y es legítimo.

En ambos casos, esto elimina el beneficio de tener una conexión HTTPS segura. Es posible que un sitio web tenga una advertencia de contenido inseguro y aún así proteja sus datos personales de manera adecuada, pero realmente no lo sabemos con certeza y no deberíamos arriesgarnos. Es por eso que los navegadores web le advierten cuando se encuentra con un sitio web que no es codificado correctamente.

Contenido activo mixto frente a contenido pasivo mixto

En realidad, hay dos tipos de contenido mixto. La más peligrosa es "contenido activo mixto" o "secuencias de comandos mixtas". Esto ocurre cuando un sitio HTTPS carga un archivo de secuencia de comandos a través de HTTP. El archivo de secuencia de comandos puede ejecutar cualquier código en la página que desee, por lo que cargar una secuencia de comandos en una conexión insegura arruina por completo la seguridad de la página actual. Los navegadores web generalmente bloquean este tipo de contenido mixto completamente.

El segundo tipo es "contenido pasivo mixto" o "contenido de visualización mixto". Esto ocurre cuando un sitio HTTPS carga algo como una imagen o un archivo de audio a través de una conexión HTTP. Este tipo de contenido no puede arruinar la seguridad de la página de la misma manera, por lo que los navegadores web no reaccionan con la misma severidad. Sin embargo, sigue siendo una mala práctica de seguridad que podría causar problemas. Por ejemplo, un atacante podría reemplazar la imagen con una imagen engañosa, manipulando una página teóricamente segura. Una solicitud de carga de imagen también contiene encabezados que contienen información de cookies asociada a un sitio web, por lo que incluso cargar una imagen a través de una conexión insegura puede causar problemas. Los navegadores web a menudo muestran un ícono o mensaje de advertencia en lugar de bloquear el contenido por completo, ya que este tipo de contenido mixto todavía es muy común en sitios web reales. En Chrome, verás un candado con un triángulo amarillo..

Qué hacer cuando ve una advertencia de contenido mixto

Los navegadores web generalmente bloquean los tipos más peligrosos de contenido mixto de forma predeterminada. No lo desbloquees. Si no puede iniciar sesión en un sitio web o ingresar los detalles de pago en línea sin cargar el contenido mixto, debe abandonar el sitio web y no ingresar su información en un sitio web no seguro. Hágales saber a los propietarios de sitios web que su sitio no es seguro y está roto.

Si ve una advertencia de que una página contiene otros recursos que pueden no ser seguros, probablemente sea seguro iniciar sesión de todos modos. No es una buena señal si un sitio web tan importante como su banco tiene este problema, pero este tipo de advertencia de contenido mixto es muy común.

Por otro lado, las advertencias de contenido mixto no son realmente una gran cosa si estás accediendo a un sitio web que no necesita HTTPS. Todo lo que significa una advertencia de contenido mixto es que una página web con garantía de beneficiarse de la seguridad HTTPS, es decir, en el peor de los casos, la página web que visita es tan insegura como un sitio HTTP estándar. Entonces, si estaba accediendo a un sitio web como Wikipedia solo para leer algunos artículos y vio una advertencia de contenido mixto, no debería preocuparse demasiado por eso. En el peor de los casos, es tan inseguro como si estuviera leyendo artículos en Wikipedia a través de una conexión HTTP estándar, lo cual no tendría ningún problema en hacer..

¿Por qué algunas páginas web tienen este problema?

Solo verá este error si hay un problema con la forma en que se codifica una página web. Si una página web se sirve a través de HTTPS, también debe usar el protocolo HTTPS para extraer los archivos de script y el contenido que requiera. Los desarrolladores web deben probar sus páginas web, asegurándose de que no activen advertencias de aspecto aterrador en los navegadores de los usuarios. Si usted es un usuario, realmente no puede hacer nada al respecto; depende del propietario del sitio web repararlo..

Si es un desarrollador web, todo lo que tiene que hacer es asegurarse de que sus páginas HTTPS carguen contenido de las URL de HTTPS, no de las URL de HTTP. Una forma de hacer esto es hacer que todo su sitio web solo funcione con SSL, por lo que todo solo usa HTTPS.

Si desea crear una página que pueda servirse a través de HTTP o HTTPS y hace lo correcto de forma automática, puede usar las "URL relativas al protocolo" para que el navegador del usuario elija automáticamente HTTP o HTTPS según sea apropiado, según el protocolo que utilice conectado con. Por ejemplo, una URL relativa al protocolo para cargar una imagen se vería como