Защита пользователей Google от небезопасных загрузок в Google Chrome

Система Google начала развертывание постепенных изменений в обозревателе Google Chrome с целью блокировки обработки смешанного содержимого и загрузок смешанного содержимого. С января 2021 года Google начинает блокировать загрузки HTTP-файлов (изображений, документов и PDF-файлов) с сайтов HTTPS по умолчанию.

Данная статья содержит информацию о базовых продуктах Salesforce. Информация об указанных ниже продуктах:

• Marketing Cloud
• Pardot
• Salesforce CPQ

Сведения о других облачных хранилищах и продуктах см. в разделе «Как изменение влияет на другие облачные хранилища и продукты» ниже.

Что изменилось?

Данное изменение может повлиять на возможность конечных пользователей иметь доступ к загрузкам или изображениям вне HTTPS, запущенным на безопасных страницах системы Salesforce.

• Изображения

Поврежденное изображение отображается для содержимого (изображение или видео), размещенного на небезопасной странице HTTP, при его просмотре на безопасной странице HTTPS. 

• Загрузки

Если на ссылки или вложения, размещенные на небезопасном сайте HTTP или FTP, нажимают на безопасной веб-странице HTTPS, возвращается ошибка.

Что можно сделать?

Проверьте настраиваемое содержимое и убедитесь, что оно обслуживается посредством безопасного хоста HTTPS. HTTPS использует шифрование передаваемых данных (TLS) для предотвращения атак (например, атаки через посредника). Метод настройки HTTPS может изменяться в зависимости от используемой службы. Дополнительные рекомендации по настройке HTTPS см. по специфическим ссылкам выше. Дополнительную информацию см. в блоге Google Chrome.
 

Как это изменение влияет на другие облака и продукты?

С целью наполнения данной статьи наиболее полезными сведениями, влияние данного изменения на продукты во всех облаках и планах было оценено группами по технологиям Salesforce.
 

Commerce Cloud 

Проверьте наличие смешанного содержимого в своих настраиваемых шаблонах электронной почты. Настраиваемые шаблоны электронной почты клиентов - единственная область, попадающая под влияние данного изменения.
 

Industries Cloud

Vlocity 

Проверьте наличие потенциального смешанного содержимого в настраиваемом пользовательском интерфейсе и классах Apex. В настраиваемый пользовательский интерфейс входят страницы Visualforce, компоненты Aura и содержимое LWC или HTML/CSS/JS, предоставляемое посредством безопасного хоста. В настраиваемых классах Apex проверьте наличие переменных URL-адресов, установленных в коде, в данных или полученных из внешних API, встроенных и обработанных в пользовательском интерфейсе. Все встроенное небезопасное содержимое, предоставляемое посредством URL-адреса HTTP, может быть удалено или заменено на безопасный хост HTTPS.
 

Experience Cloud (ранее Community Cloud) 

Проверьте страницы Visualforce, компоненты lightning и конфигурацию сообщества, чтобы убедиться, что они не используют смешанное содержимое. Убедитесь, что все ссылки, указывающие на скачиваемое содержимое, созданное или настраиваемое в ваших компонентах, используют HTTPS.

Содержимое Salesforce CMS
Для создания носителей для внешних ссылок используйте URL-адреса «https://», чтобы поддержать полную функциональность вашего содержимого. Носители для внешних ссылок с небезопасными URL-адресами больше не отображают миниатюрные изображения и предварительные просмотры в исходном формате.

Почему компания Google внедряет данное изменение?

Небезопасные загрузки представляют угрозу для безопасности и конфиденциальности пользователя. Например, небезопасные загрузки могут заменяться злоумышленниками на вредоносное программное обеспечение. А средства перехвата информации могут считывать небезопасно загруженные банковские выписки пользователей. Для устранения данной угрозы компания Google планирует со временем прекратить поддержку небезопасных загрузок в Chrome. Компанией Google объявлено о постепенном переходе обозревателя Chrome к загрузке на безопасных страницах (HTTPS) только безопасных файлов. Согласно плану действий, представленному в разделе сроков, Chrome начинает блокировать загрузки смешанного содержимого, то есть загрузки вне HTTPS, запущенные на безопасных страницах. Данное изменение соответствует плану, опубликованному компанией Google в прошлом году для блокировки всех небезопасных подресурсов на безопасных страницах. Изначально компанией Google решено принять меры в отношении небезопасных загрузок, запущенных на безопасных страницах. Данные случаи вызывают беспокойство, так как в настоящее время Chrome не уведомляет пользователей об угрозе для их безопасности и конфиденциальности.

Где можно получить более подробную информацию?

Более подробную информацию от компании Google, а также примерные сроки, см. в блоге Google Chrome.