JavaScript e CSS não são carregados em alguns navegadores por SSL

Question

Eu tenho um site no qual recentemente ativamos o SSL. Na maioria dos navegadores, isso funciona bem: nossos scripts e folhas de estilo são importados usando HTTPS e a maioria dos navegadores carrega páginas com êxito. No entanto, em algumas circunstâncias, as páginas seguras serão carregadas sem estilo de página ou JavaScript.

Um lugar que reproduzimos consistentemente está no Mac OS X (v10.6.4) com o Safari 5. Temos outro usuário que relata problemas consistentes no Mac OS X com o Chrome v5, mas não vejo problemas com o Chrome v6.

O Safari relata-me que o certificado não é válido, pois está assinado por uma autoridade 'desconhecida' (DigiCert). Isso complica a situação, já que o Safari no Windows não tem esse problema. No entanto, pelo menos no Safari, um usuário pode dizer ao navegador para sempre confiar no conteúdo do site, e as folhas de estilo e os scripts serão carregados adequadamente.

A maioria dos usuários do Google Chrome que encontram o problema tem uma assinatura de erro semelhante. No entanto, um deles relata que seu navegador baixa os arquivos com conteúdo em branco. Nessas situações, o console de erros do Chrome indica que o arquivo foi interpretado como o tipo correto, mas transferido com um tipo MIME em branco.

O próprio site executa o Apache e o servidor de conteúdo estático usa o Lighttpd.

A inconsistência desse problema está dificultando a definição, portanto, qualquer sugestão será apreciada.

    

Answer 1

Isso se tornou um problema em como configuramos o certificado em nosso servidor de conteúdo estático. Ele foi configurado no Lighttpd, de modo que o Safari não pôde seguir a cadeia de certificação para o certificado intermediário do certificado raiz. Tivemos que empilhar os certs em um único arquivo e mover o certificado do servidor para um arquivo pem. Posteriormente, o Safari tratou as solicitações para o nosso servidor estático como válidas e começou a veicular o JavaScript e o CSS no navegador novamente.

    

Answer 2

Você colocou referências codificadas nos arquivos com o URL completo? Por exemplo, link '

Se o navegador se recusar a mostrar conteúdo inseguro para uma página da Web segura, você terá o problema que descreve.

    

Answer 3

Eu tive o mesmo problema com o nginx. De acordo com o DigiCert e o nginx docs, o certificado do site e o certificado intermediário precisam ser concatenados:

link

link

cat intermediate_certificate.crt > > your_domain_name.crt

O nginx (e, no seu caso, o lighttpd) não possui uma diretiva SSLCertificateChainFile separada como o Apache e, em vez disso, precisa que os certificados sejam "encadeados" manualmente.