přesměrování na HTTPS?

XolyCZ:
To znamená, že máš někde něco, co tě nejspíše přesměrovává zpět na http a tak vznikla smyčka. To můžou způsobovat nějaká další pravidla co máš v htaccess, nebo to může přesměrovávat samotná aplikace a nebo to klidně může být v prohlížeči nakešované 301 přesměrování které sice dříve bylo v htaccess souboru a ty jsi ho sice smazal, jenže ono zůstalo uložené právě v keši tvého prohlížeče.

Základem je zjistit, jaké poloupnosti URL na sebe přesměrovávají (což by mělo jít ve vývojářských nástrojích prohlížeče) a z toho pak odvodit jaké staré přesměrování ti tam zůstalo, nebo kde v těch nových máš logickou chybu.

XolyCZ:
„htaccess soubor měl a má jenom toto:“
Má i teď? Protože teď se nic na nic nespřesměrovává. Momentálně je dostupná všech těchto 4 adresách http://forthewin.cz/ http://www.forthewin.cz/ https://forthewin.cz/ https://www.forthewin.cz/
Pokud htaccess vypadá takto, tak by první dvě možnosti měly být přesměrované na ty dvě další. *

„Aplikací nevím přesně co máš na mysli, ale na index.php žádné přesměrivání při otevření nemám.“
Ano, aplikací je myšlena tvoje stránka. Nevím jestli ti to běží na nějakém CMS, nebo jestli jsi to napsal celé sám nebo jsi to postavil na nějakém frameworku. Pokud by jsi to stavěl na nějakém připraveném systému tak téměř snad všechny dnes řeší hezké url a proto dle potřeby přesměrovávají. Chybnou konfigurací se mohou dostat do konfliktu s pravidly v htaccess a proto mi přišlo správné to zmínit jelikož je to dost pravděpodobný scénář i když teď po prohlédnutí kódu je nanejvýš pravděpodobné, že jsi to celé napsal sám.

„Vlezl jsem do těch nástrojů, ale nevím kde to tam mám přesně najít“
Klasicky se to jmenuje Network / Síť. Je tam vypsaný seznam požadavků, které stránka udělala. Například když vlezeš na stránku seznamu bez https na začátku, tak výpis může vypadat takto. Nejdříve tam je ten požadavek na nezabezpečenou verzi ale výsledek byl 302 přesměrování. Takže je tam požadavek na novou url, který skončil úspěšně a tak za ním následují další požadavky na styly, skripty, obrázky a další prvky stránky. V tvém případě by jsi tam měl vidět seznam nejspíše dvou stále se opakujících se požadavků, které neustále přesměrovávají jeden na druhý. Když si na ten pořadavek klikneš, tak uvidíš další podrobnosti. Zejména tě zajímá na jakou url ten požadavek poslal a jaká byla odpověď.

„A jestli je to v prohlížeči a je to z těch stránek, tak to znamená, že to mají i všichni ostatní.“
Tak to znamená, že stejný problém mohou mít i jiní lidé. Museli však na tvou stránku přijít a jejich prohlížeč si tu informaci musel uložit. Pokud na tvé stránce nikdy nebyli a nebo se ta informace o přesměrování do jejich prohlížeče neuložila či se smazala, pak ten problém nemají. Celé to platí ale pouze za předpokladu, že to přesměrování je způsobené jen jeho uložením v keši prohlížeče. Pokud je to něčím jiným, pak ten problém mohou mít i další lidé včetně těch, co na tvé stránce nikdy nebyly.
Jestli je to způsobené keší prohlížeče se dá většinou lehce ověřit tak, že si otevřeš anonymní okno a v něm se podíváš na tu stránku. Při použití anonymního okna prohlížeč nepoužívá data z kaší před jeho spuštěním jelikož existují metody, jak by se z těchto keší daly vytáhnout určité identifikátory a to by pak anonymní moc nebylo.


*Když už jsme u toho tak nejen že by jsi měl http přesměrovávat na https ale i variantu bez www na variantu s www. Kvůli bezpečnosti v pořadí nejdříve protokol (http) a pak následně ještě jedno přesměrování pro kanonizaci domény (www).

XolyCZ:
Dobře. Podle toho obrázku nejde o přesměrovávání mezi dvěma a více stránkami, ale jen o jednu která přesměrovává stále sama na sebe. Přesměrování pomocí 302 se nekešuje, takže tím se keš dá vyloučit a kód 302 je defaultní přesměrování v htaccess pokud u rewriterule u flagu R neuvedeš kód. Takže problém bude na 99% právě s htaccess souborem a jen s ním. Zřejmě je podmínka RewriteCond %{HTTPS} off splněná i když je web na https. To se může stát u složitěji poskládaných sítí. Například pokud se na jednom serveru dešifrují všechny požadavky a ty jsou následně už nešifrovaně předávány dovnitř sítě na webservery které je odbavují. Což bude případ právě i tvého hostingu, ostatně to píšou na svém webu. faq.active24.com/cz/098327-htaccess-editace-specifika#HTTPShtacces
Nevím, proč v tom příkladu mají stále řádek RewriteCond %{HTTPS} !on když píšou, že nefunguje. Sice tam ničemu nevadí ale je zbytečný.


Až to otestuješ, můžeš k flagům přidat R=301 které zajistí, že přesměrování se nakešuje. Což pomáhá bezpečnosti, protože ten první požadavek je nezabezpečený a dá se při něm spojení unést. Při příštím přístupu se už automaticky použije https varianta, takže se spojení nebude dát unést. Samozřejmě do doby, než platnost v keši vyprší.

Pro následné přesměrování z varianty bez www na tu s www přidej za to
Po ověření funkčnosti můžeš zase přidat R=301. Už to sice není o zvýšení bezpečnosti ale ušetří to požadavek na server.

XolyCZ:
Jestliže stránka má být dostupná pouze přes HTTPS, určitě zvažte přidání Strict-Transport-Security hlavičky po tom, co Vám začnou běhat redirecty. PHP kód, který to zavede by mohl vypadat takto:


Hlavička zajistí, že nebude umožněno uživatelům používat stránku přes HTTP (a tedy útočníci v síti nebudou moci číst jejich komunikaci se stránkou, ani nebudou schopní provést protokol downgrade útoky). Hodnota max-age je nastaven na dobu jednoho roku - a tak dlouho si prohlížeč bude pamatovat, že má na stránku rovnou chodit přes HTTPS (automatický 301 redirect na straně prohlížeče pro případ, že uživatel pokusí přijít na stránku přes HTTP). Hodnota includeSubDomain říká, že by to mělo být respektováno i pro subdomény (a pokud si nepřejete/nemůžete zajistit, že subdomény budou mít validní HTTPS certifikát, tento parametr neuvádějte).

Posledním doporučitelným krokem by bylo přidat ještě třetí hodnotu, za středník preload a vyplnit aplikaci pro přidání na preload list dle pokynů na hstspreload.org. Přidání preloadu způsobí, že moderní prohlížeče už budou rovnou vědět, že Vaše doména má být servírována pouze přes HTTPS a tedy uživatelům rovnou upgradeují požadavky, které nešly přes HTTPS.

XolyCZ:
„Nebo teda nevím, jestli se to píše jako 4. flag nebo ne, nevím totiž co ty flagy znamenají :D.“
Většinou se píše na začátek ale na pořadí flagů by nemělo záležet. [R=301,L,QSA,NE]

„Když se na to ale dívám, tak ten server asi přesměrovává na www sám, protože se mi to tam objeví automaticky i s https.“
Ne, momentálně se přesměrovává jen z http na https. Když do adresního řádku ručně napíšu http://forthewin.cz a zmáčknu enter, tak se po přesměrování objevím na https://forthewin.cz. Na tom obrázku je vidět, že první požadavek šel na verzi s www a proto byl přesměrován také na verzi s www.

HSTS hlavička se dá přidat už v htaccess souboru a nemusí se tím zatěžovat PHP.
Nicméně má to své stinné stránky. Předně si musíš být jistý, že http verzi prakticky nikdy nebudeš chtít vrátit, protože to budeš moci udělat nejdříve až za rok po té co by jsi tu hlavičku ze serveru odstranil. Pokud by jsi tam přidal ten preload, tak to nemůžeš už udělat nikdy. V důsledku to znamená že vždy budeš muset být schopný technicky https zajistit. Tedy máš na výběr jen z hostingů které https podporují, musíš spoléhat na to, že LetsEncrypt bude fungovat nebo být připraven na to, že když by náhodou skončili, tak si budeš muset certifikáty kupovat.
HSTS je dobrá věc, jen je potřeba si být jistý, protože jak to jednou zapneš už se to těžko vrací zpět.

XolyCZ:
„No, tak už jsem to tam vložil. Ale tak aspoň o tom teda vím :D“
Pokud ti tam zatím nikdo nepříšel, tak to můžeš stále ještě beztrestně odstranit. A těm pár co tam přišli to v prohlížeči vydrží rok. Samozřejmě rozhodnutí je na tobě.

„To přesměrovávání na www mělo problém s mezerama za čárkou u těch tagů,“
OK, psal jsem to spíš z hlavy, takže tu a tam se nějaká chybička vyskytne. Hlavně že ti to už funguje. Původní příspěvky jsem opravil aby to už nikoho nezmátlo.

XolyCZ:
Zda někdo něco vyplnil do inputu se nejlépe ověří pomocí empty

„Ještě prosím tě, když je to tu rozjeté“
Témata by se neměla míchat. Na nové nesouvisející problémy by jsi měl vždy zakládat nové téma. Tato diskuze má výpis všech témat nezávisle na jejich kategorií řazený podle nejnovějších příspěvků. Takže ti co to sledují vidí veškeré změny na celém fóru. Nemusíš se bát, že by se tvůj dotaz v novém vláknu ztratil.