5

Такие ошибки выводятся. Есть форма с type=password и через ajax пароль отправляется на сервер.

Firefox выводит ошибки:

Незащищённая (http://) страница содержит поля для ввода пароля. Это представляет собой угрозу безопасности, которая позволяет украсть учетные данные для входа пользователя.

Форма с незащищённым (http://) действием содержит поля для ввода пароля. Это представляет собой угрозу безопасности, которая позволяет украсть учетные данные для входа пользователя.

Пишут что прослушиванием трафика можно воровать пароли.

  1. Как тогда безопасно передавать пароли по ajax?
  2. Cookie передающиеся по ajax, тоже не зашифрованные, а значит если там хранить пароли, то это тоже не безопасно?
9
  • А что мешает постить ajax с https?
    – cyadvert
    15 янв 2016 в 2:45
  • 6
    не, не прокатит. любая страница, где просят ввести пароль, в идеале, должна быть через SSL.
    – cyadvert
    15 янв 2016 в 3:07
  • 3
    И идеале, в 2016 году сайт должен работать по https полностью.) А последняя отмазка от его использования стала неактуальна месяц назад.
    – andreymal
    15 янв 2016 в 8:39
  • 1
    @andreymal а для тех, кто в танке - что случилось месяц назад?
    – splash58
    15 янв 2016 в 11:27
  • 3
    @splash58 халявные сертификаты от Let's Encrypt всем и каждому (правда, без wildcard пока, но вроде должны будут появиться)
    – andreymal
    15 янв 2016 в 11:32

3 ответа 3

3

Атака Man In The Middle позволяет прослушивать трафик, внедряясь между клиентом и сервером. Таким образом любые конфиденциальные данные должны передаваться по защищённому каналу. В настоящее время он организуется посредством протокола HTTPS (HTTP + SSL). Поэтому самым простым способом для вас будет подключение SSL сертификата и использование HTTPS. Статей по теме более чем достаточно. Удачи :)

2

Веб меняется. Чаще читай нововведения в новых релизах браузеров. Они хотят все сайты где есть ввод пароля на https:// Пока-что выводится предупреждение в консоль и серым цветом в адресной строке "Не защищено". В будущих версиях планируется выводить в адресной строке заметным цветом. Оранжевым или красным.

Правильно в комментарии написали, Let's Encrypt выдает всем сертификаты бесплатно.

1
  • это ели есть сайт и зарегистрировано его имя. для корпораивного использования достаточно IP, на него не получишь сертификат....
    – Вадим
    10 апр 2017 в 12:48
-3

Если уж вам так хочется сделать http, но для запроса - защитить, то используйте JSONP для запроса на сервер

1
  • И что это изменит?
    – user181100
    16 мая 2017 в 22:36

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.