Che cosa mostra l'inventario
Immagini, caratteri, video o funzioni del tuo sito possono arrivare da servizi esterni. Questo inventario ti aiuta a riconoscerli e a chiederti se sono risorse che volevi davvero usare. Un servizio inatteso merita una verifica; la sua presenza da sola non indica un problema.
Una dipendenza esterna è un riferimento, presente in una pagina esaminata, a una risorsa su un'origin diversa da quella della pagina. Un'origin comprende protocollo, nome host e porta effettiva: per esempio https://www.example.com e https://cdn.example.com sono origin diverse. Anche http://example.com e https://example.com sono distinte; una porta esplicita diversa, come https://example.com:8443, identifica un'origin diversa.
L'inventario di TrustyRunner Light raggruppa per origin esterna i riferimenti statici che è riuscito a estrarre dalle pagine acquisite durante quella scansione. La presenza di un'origin esterna è spesso normale: un sito può usare immagini, font, fogli di stile o contenuti incorporati ospitati altrove. Prima di intervenire, confronta ciò che compare con le risorse che ti aspetti di usare.
L'inventario non verifica vulnerabilità, non identifica chi gestisce un'origin e non osserva tutte le richieste che un browser potrebbe fare quando esegue la pagina.
Che cosa significano i tipi osservati
I tipi descrivono il contesto del riferimento trovato nella pagina; non confermano che la risorsa sia stata caricata con successo.
- Script: un file JavaScript richiamato dalla pagina.
- Stylesheet: un foglio di stile collegato alla pagina.
- Style reference: un URL di risorsa trovato in un contesto di stile, per esempio un'immagine di sfondo.
- Image: un'immagine referenziata nel contenuto o negli attributi immagine esaminati.
- Iframe / embed / object: un contenuto esterno inserito o incorporato nella pagina; il tipo indica l'elemento osservato.
- Video / audio / source: un riferimento multimediale o una sorgente dichiarata per un elemento multimediale.
- Preload / font preload: una risorsa indicata per il caricamento anticipato; font preload specifica che la pagina la dichiara come font. È un'indicazione nel markup, non una conferma del caricamento.
Puoi vedere anche other link per altri collegamenti a risorse dichiarati nella pagina, per esempio un'icona. Non comprende i normali link di navigazione.
Come leggere numeri e pagine di esempio
- Numero di pagine osservate: quante pagine acquisite nella scansione contenevano almeno un riferimento statico a quell'origin. Conta pagine distinte entro la copertura disponibile, non tutte le pagine del sito.
- Riferimenti catturati: quanti riferimenti statici distinti verso quell'origin sono stati conservati ed esaminati. Una pagina può contribuire con più riferimenti; il numero non misura visite, richieste del browser o file caricati.
- Pagine sorgente di esempio: alcune pagine dove l'origin è stata osservata. Gli URL mostrati omettono query e frammenti; se indicato, una query è stata rimossa.
Le pagine di esempio riguardano l'origin nel suo insieme. Una pagina elencata non è necessariamente quella che contiene un riferimento HTTP da HTTPS o un particolare tipo di risorsa. Per trovare il riferimento preciso, esamina il markup, i contenuti o la configurazione che generano le risorse nelle pagine pertinenti.
Come valutare un'origin
Se non te l'aspettavi
Controlla il nome host e i tipi osservati, poi confrontali con temi, plugin, servizi e contenuti che hai scelto di usare. Cerca nei template e nei contenuti i riferimenti alla stessa origin; se non trovi una spiegazione, coinvolgi chi gestisce il sito prima di rimuoverli. Un'origin inattesa è un motivo per indagare, non la prova di un problema.
Se compare su molte pagine
Verifica se un elemento condiviso, come il layout, il tema o un componente comune, aggiunge quel riferimento. Controlla che serva ancora e che la configurazione sia quella voluta. Il numero di pagine indica diffusione nelle pagine esaminate; da solo non misura impatto, prestazioni o priorità.
Se ha più tipi di risorsa
La stessa origin può ospitare, per esempio, script e fogli di stile. I tipi ti aiutano a capire quali parti del sito esaminare. La combinazione è informazione, non un allarme: i numeri e le pagine di esempio restano riferiti all'origin nel complesso, non a ciascun tipo separatamente.
Pagina HTTPS con riferimento HTTP a un'origin esterna
Che cosa è stato osservato
Su almeno una pagina HTTPS esaminata, TrustyRunner ha trovato un riferimento statico a una risorsa http:// su un'origin diversa. È una relazione osservata nel contenuto acquisito, non una prova che il browser abbia caricato o bloccato la risorsa. Non dimostra una vulnerabilità.
Perché controllare
Un riferimento HTTP in una pagina HTTPS merita una verifica perché il comportamento effettivo può dipendere dal tipo di risorsa e dal browser. Non dedurre da questa sola indicazione cosa sia accaduto ai visitatori.
Come intervenire
- Individua nel markup, nel CMS, nel tema o nella configurazione il riferimento HTTP che genera quella relazione. Le pagine sorgente mostrate sono esempi per l'origin, quindi potrebbero non contenere il riferimento HTTP specifico.
- Prova la stessa risorsa con
https://e verifica che sia disponibile e restituisca il contenuto atteso. Non basta sostituire il protocollo nell'URL senza verificare la destinazione. - Se la versione HTTPS funziona ed è appropriata, aggiorna il riferimento nel punto che lo genera e controlla che la pagina continui a funzionare. Se non esiste una versione HTTPS adatta, valuta se sostituire o eliminare la risorsa.
- Esegui una nuova scansione e controlla se, nelle pagine nuovamente esaminate, il riferimento HTTP viene ancora osservato. Considera l'eventuale copertura parziale prima di interpretare la sua assenza.
Per il comportamento del controllo dedicato, leggi la guida Mixed Content.
Copertura e assenza di origin
L'inventario ha limiti per scansione sulle pagine e sui riferimenti esaminati, sulle origin conservate e sugli esempi mostrati. Se il report indica copertura parziale, leggilo così: Inventario parziale: alcune pagine o risorse potrebbero non comparire.
Se l'elenco è vuoto, la conclusione corretta è: Nessuna origin esterna osservata nelle pagine esaminate. Anche in questo caso, il risultato riguarda soltanto la scansione e la sua copertura.