Google search console 來信通知 2018/7 起的 google chrome 68 版本以上將會對無 https (ssl) 的網站發出不安全警告, 所以只能著手來調整一下網站.
啟用了 SSL 之後, 訪問本站也就會直上 https , 當然也一併解決安全性議題, 不過網站是否安全, 從 SSL 只是在傳輸上加密, 確認 endpoint 安全, 不過內容是否安全又是另外的議題, 無論如何, Google 的安全強化是值得肯定的.
先說, 我使用的是免費的版本, 功能就十分方便好用了.
原本是使用 monitor.us 服務, 雖然可以監控的項目很多種類, 不過後來因為要收費了, 所以另外找了這個 uptimerobot, 也用了好一陣子, 監控密度夠高也穩定, 雖然監控項目以 http / https 為主, 但也十分夠用了.
最近收到一個監控通知, 內容第一次看到, 如下:
原來也有監控 SSL 的憑證到期呢, 真的十分貼心, 很棒. 如此一來, 即使在 SSL 忘了更新, 或沒時間檢查的狀況下, uptimerobot 也會協助監控, 就不會那麼容易過期了.
繼續閱讀:
https://blog.uptimerobot.com/introducing-ssl-monitoring/
另外, 單純提供 SSL Certificate Expiration check 的服務:
https://certificatemonitor.org/
看到在 DigitalOcean 上的教學文章 – 如何在 ubuntu 的 apache 上加裝 SSL
於是來研究看 Letsencrypt 的 SSL 安裝.
步驟真的還蠻簡單的, 開了一台 CentOS 主機後, 先安裝了 apache:
yum install httpd
再安裝 git:
yum install git
然後便正式安裝 letsencrypt 作業:
git clone https://github.com/letsencrypt/letsencrypt cd letsencrypt ./letsencrypt-auto
其實這樣就裝完了, 過程中會問幾個問題, 主要是網域名稱與 renew 用的 email , 輸入完成後, 便會自動進行 SSL 憑證的安裝, 其中還有一個問題是是否強制使用 https, 可以依自己的需求來進行選擇, 安裝好後, 就可以直接訪問 https://yourdomain.com 看看是否正常, 原則上 apache 不用重起就可以使用了呢.
這個憑證免費, 不過效期只有 90 天, 官方建議是每 60天 renew 一次, 所以記得要定期更新, 或使用 cron 自動來更新.
繼續閱讀:
今天在拉一個網頁畫面, 使用 fakeimg 進行測試, 想說網站都用 https 所以圖片也用 https 來進行連接, 結果還是發生安全性提醒.
原因不是 fakeimg 不支援 https, 而是用錯了. 像這樣: https://fakeimg.pl/100×100 少了最後的 /.
也就使用原來的連結被重導至 http://fakeimg.pl/100×100/ 這樣, 使得網頁上的圖片被改成使用 http 連接, 而出現的安全性警告.
所以記得使用 fakeimg 時, 若要使用 https, 則要把相關的網址打對, 也就是
https://fakeimg.pl/100×100/
才不會發生這個問題.
之前介紹 fakeimg 的文章在這裡: https://diary.tw/archives/1266, 可以參考看看.
自己架的網站, 有時候沒有什麼監控, 導致中斷也不知道, 往往到下次自己在使用的時候, 或是檢視 GA報表的時候才發現, 的確很囧.
使用免費的工具來自己監控, 以利能第一時間取得資訊. 這個網站服務提供了免費的監控服務, 大家可以試看看. 早期使用的免費工具, 大多是限制監控點的數量, 只有一個, 十分不便, 當然, 服務也是為了收費, 所以有一些限制很正常, 不過這個 monitor.us 提供的更多, 以下是他的付費與免費的比較:
(以上內容引用自官方網站: http://www.monitor.us/en/about-monitor-us/monitis-premium-product )
主要差異在於監控的頻率與保存的時間, 而沒有監控數量的限制(上面的monitor location指的是測試發起的地點, 不是監控項的數量), 不過若是個人或一般小型商業應用, 應該是很足夠的.
除了 WEB(HTTP、HTTPS) 的監控外還有許多免費監控項目, 如下:
Uptime monitors: Ping、DNS、FTP、TCP、SSH、SIP、UDP、SMTP、POP3、IMAP、MySQL、SOAP
Server/Device monitors: CPU、Memory、Drive、Linux load、Process、Server events、SNMP、Ping、HTTP、HTTPS
其他付費的還有 Application monitors, Cloud monitors 等, 真的很豐富.
而管理介面的圖表也十分易讀好管理, 最棒的地方, 是他還有手機版本可供管理及查詢(還有push notification通知訊息)
Android 版: https://play.google.com/store/apps/details?id=com.monitorus.android.mobile
iOS版: https://itunes.apple.com/us/app/monitor.us-free-web-server/id508012934?mt=8
快來建立一個自己的監控的服務吧.
今天在幫一個網站處理加上 SSL 時, 發現有個使用 jQuery 的效果消失了, 經檢查後, 發現其實是因為該網頁使用了 http://code.jquery.com/jquery-latest.min.js 的 jQuery library.
為了解決這個問題, 當然就是再加上 https 就可以了. 不過有沒有更好的方式呢? 答案是有的, 使用 // 雙斜線來處理.
//code.jquery.com/jquery-latest.min.js
這樣的語法, 是告訴瀏覽器, 使用”繼承”的 protocol, 也就是說, 主 url 上使用是 http, 這裡就用 http, 而原本是走 https , 這裡就用 https.
簡單來說, 一種方式就是 library 就都用 https 的方式, (當然原本的 library 網站要有支援 https, 目前絕大部分的 cdn library 都有), 否則使用這種 double forward slash 也是很不錯的方式, 解決開發環境只用 http, 而 production 環境使用 https 的狀況.
在寫作 web application 後, 最後一步就是部署發行了.
不過這端往往會有問題(其實也不是問題)的地方在於自己的網站, 若是要使用 SSL 加密通道, 走 https 通訊協議時, 會需要申請一個 SSL 的憑證.
今天剛好在這裡看到一篇文章: http://blog.s135.com/startssl/ 裡有提到有關免費申請的 SSL 憑證. 這家公司是 startcom, 其網站在: http://www.startssl.com , 提供了線上免費申請 SSL 的憑證, 十分方便而且實用.
其實 SSL 憑證是可以自己簽發的, 在自家網路內部還不成問題, 可以將 CA 加入在公司內的電腦主機上, 但是在公眾網路上, 若是瀏覽器沒有內建的 CA 時, 就會發生不信任警告, 而現在的瀏覽器更是主動直接拒絕連結, 需要使用者自行手動加入信任才行. 對於一般的應用上, 自行簽發的憑證真的不是很方便(雖然一樣可以用, 只是信任度就下降了, 不然何必要第三方公證單位的CA呢). 而一般的申請單位像是 Verisign 也都可以申請, 只是費用就不是市井小民負擔的起的.
好. 廢話不多說, 我們就來申請試看看吧, 首先上 http://www.startssl.com 進行申請, 首先到右上有個門有鑰匙的符號進行申請, 之後出現三個功能, Authenticaion, Sign-up, express line, 時選擇 Sign-up, 填入基本資料後, 就可以利用 email 完成驗證身份的動作了.
接下來就可以在 control panel 上的 Validations Wizard 進行 web ssl 憑證申請囉, 畫面如下:
