Permitir conteúdo misto ativo (iframes) com SSL e políticas de segurança de conteúdo

Question

Instalei um certificado SSL no meu servidor e consegui HTTPS . Mas preciso carregar iframes existentes com conteúdo incorporado, geralmente vídeos do YouTube que foram salvos com HTTP url, mas também outros conteúdos que não estão disponíveis em HTTPS .

upgrade-insecure-requests não é uma solução adequada, pois bloqueia o conteúdo passivo se não puder ser recuperado com HTTPS , o que sem definir Content-Security-Policy não é bloqueado pelos navegadores.

Qual política devo definir para que o navegador não bloqueie o conteúdo ativo?

    

Answer 1

Você não pode desativar a verificação de segurança mista no nível do site. Se o navegador permitir, esse comportamento fornecerá uma falsa sensação de segurança e prejudicará a confiança no uso de HTTPS.

Alguns navegadores permitem que a configuração seja desativada por instalação. Por exemplo, você pode desativar a verificação no Firefox alterando a configuração

security.mixed_content.block_active_content

em about:config .

O Chrome não permite isso explicitamente, e a única maneira é clicar em carregue de qualquer maneira . Também vale a pena mencionar que as versões mais recentes do Chrome não exibir mais um cadeado cruzado , em vez disso, o Google Chrome reduzirá essencialmente a segurança da página para HTTP se você carregar qualquer conteúdo HTTP.