Ilustrasi AI tentang audit pengalihan HTTPS dan mixed content; bukan hasil pengujian situs atau tangkapan DevTools.
Alamat blog dapat berakhir di HTTPS tetapi halaman masih memuat gambar, skrip, stylesheet, atau iframe melalui HTTP. Karena itu, audit HTTPS Blogger perlu menjawab dua pertanyaan yang berbeda: apakah setiap alamat HTTP dialihkan ke halaman HTTPS yang tepat, dan apakah halaman HTTPS masih meminta sumber daya tidak aman. Pemeriksaan berikut bersifat baca-saja; Anda mengumpulkan bukti lebih dulu sebelum menyentuh setelan, tema, atau isi postingan.
Tentukan sampel URL dan hasil yang diharapkan
Mulailah dengan daftar kecil yang mewakili blog: beranda, satu artikel baru, satu artikel lama, satu halaman statis, serta satu halaman label atau arsip. Sertakan URL http:// dan https:// untuk setiap contoh. Pada domain kustom, tambahkan versi domain utama yang memang digunakan, misalnya versi www, dan domain tanpa www hanya jika pengalihan domain tersebut telah disiapkan.
Tujuan audit bukan membuat semua variasi URL tetap terbuka. Catat satu alamat HTTPS yang seharusnya menjadi tujuan akhir untuk tiap halaman. Dokumentasi HTTPS di Blogger menjelaskan bahwa alamat Blogspot sudah menggunakan HTTPS, sedangkan blog dengan domain kustom memiliki setelan ketersediaan HTTPS dan pengalihan HTTPS. Jika blog memakai CAA record, dokumentasi itu juga meminta izin bagi letsencrypt.org agar Blogger dapat membuat atau memperbarui sertifikat.
Jangan mengubah DNS atau menonaktifkan HTTPS hanya untuk mencoba. Bila domain baru diaktifkan kembali dan aksesnya belum stabil, pisahkan dahulu masalah domain dengan panduan memeriksa Blogger setelah domain aktif kembali. Audit mixed content baru bermakna setelah dokumen utama dapat dibuka melalui HTTPS.
Uji pengalihan HTTP sampai ke halaman HTTPS yang tepat
Buka jendela privat agar cache dan sesi lama tidak menutupi hasil. Ketik URL HTTP lengkap dari sampel, termasuk jalur artikel, lalu perhatikan alamat akhirnya. Hasil yang diharapkan adalah halaman yang sama pada HTTPS, bukan beranda, halaman 404, atau alamat HTTP lain di tengah rantai. Ulangi untuk beberapa jenis halaman karena beranda yang benar belum membuktikan artikel lama ikut benar.
Untuk bukti yang lebih rinci, buka DevTools, pilih panel Network, aktifkan Preserve log, lalu muat URL HTTP. Catat urutan URL, kode status, dan tujuan akhirnya. Panduan pengalihan dan Google Search menjelaskan bahwa pengalihan permanen merupakan sinyal agar target diperlakukan sebagai URL kanonis. Blogger mengelola pengalihan HTTPS melalui setelannya; jangan menambahkan pengalihan JavaScript atau meta refresh ke tema untuk menutupi masalah konfigurasi.
Jika satu URL HTTP gagal, simpan alamat dan waktu pemeriksaan. Jika seluruh sampel gagal, barulah periksa ketersediaan HTTPS, pengalihan HTTPS, sertifikat, dan konfigurasi domain. Urutan ini mencegah perubahan luas berdasarkan satu halaman bermasalah.
Bedakan mixed content dari tautan HTTP biasa
Mixed content terjadi ketika dokumen utama dibuka melalui HTTPS, tetapi halaman meminta sumber daya melalui HTTP. Menurut penjelasan mixed content di MDN, peramban dapat menaikkan sebagian permintaan gambar, audio, atau video ke HTTPS, sedangkan jenis aktif seperti skrip, stylesheet, dan iframe dapat diblokir. Akibatnya, halaman mungkin tampak normal tetapi menu, font, iklan, formulir, atau sematan tertentu tidak bekerja.
Tautan biasa menuju halaman HTTP melalui atribut href umumnya membuka konteks halaman baru, sehingga tidak otomatis menjadi mixed content. Fokuskan audit pada URL yang dimuat sebagai bagian halaman: src, srcset, stylesheet, font, gambar latar CSS, skrip, iframe, serta permintaan yang dibuat JavaScript. Contoh berikut hanya untuk mengenali pola dan sengaja ditampilkan sebagai teks, bukan dijalankan:
<script src="http://cdn.example.com/app.js"></script>
<img src="http://cdn.example.com/foto.jpg" alt="Contoh gambar">Temukan sumber HTTP dari DevTools dan editor Blogger
Buka halaman HTTPS, lalu periksa panel Security, Issues, dan Console. Dokumentasi Security panel Chrome DevTools menunjukkan bahwa bagian Non-secure origins dapat membuka permintaan terkait di panel Network. Di Network, filter scheme:http atau mixed-content, muat ulang halaman, lalu catat URL, jenis sumber daya, dan pemicunya.
Satu halaman tidak mewakili seluruh blog. Periksa sampel yang telah dibuat, terutama artikel lama karena gambar atau sematan lama lebih mungkin menyimpan alamat lengkap HTTP. Jika masalah hanya muncul pada satu artikel, periksa HTML postingan itu. Jika muncul di semua halaman, cari sumbernya pada tema, gadget Tata Letak, kode iklan, font, atau layanan pihak ketiga. Panduan pengujian template Blogger portal berita dapat dipakai untuk memperluas pemeriksaan ke navigasi, gambar, dan tampilan halaman setelah sumber bermasalah ditemukan.
Pencarian teks http:// membantu membuat daftar kandidat, tetapi bukan keputusan akhir. URL dapat berada di komentar, contoh kode, atau tautan biasa yang tidak dimuat sebagai sumber daya. Cocokkan selalu hasil pencarian dengan permintaan nyata di Network atau peringatan peramban.
Perbaiki sumbernya, bukan sekadar menyamarkan peringatan
Sebelum mengganti http:// menjadi https://, buka versi HTTPS sumber daya itu secara langsung. Pastikan respons berhasil dan berkasnya memang sama. Jika host tidak menyediakan HTTPS, pilih sumber resmi lain, unggah ulang aset yang hak penggunaannya Anda miliki, atau hapus komponen yang tidak diperlukan. Penggantian massal tanpa pengujian dapat menghasilkan gambar hilang atau skrip gagal.
Perbaiki di tempat asalnya. URL dalam satu postingan diubah pada postingan itu; URL global diperbaiki pada tema atau gadget yang memasangnya. Sebelum mengedit tema, simpan salinan dengan panduan backup Blogger sebelum mengganti template. Jangan menambahkan kebijakan upgrade-insecure-requests sebagai jalan pintas tanpa memahami dampaknya: bila sumber tidak tersedia di HTTPS, permintaan yang dinaikkan tetap gagal.
Google menyatakan dalam panduan konsolidasi URL duplikat bahwa HTTPS umumnya lebih disukai daripada HTTP, tetapi sertifikat tidak valid, dependensi tidak aman selain gambar, pengalihan melalui HTTP, atau canonical ke HTTP dapat memberi sinyal yang bertentangan. Karena itu, audit pengalihan, sumber daya, dan canonical perlu searah menuju HTTPS.
Verifikasi ulang dan simpan bukti audit
Setelah perbaikan, bersihkan log Network, muat ulang halaman tanpa cache, dan ulangi seluruh sampel. Pastikan URL HTTP mencapai halaman HTTPS yang sepadan, tidak ada permintaan HTTP yang diblokir atau dinaikkan diam-diam, serta fungsi utama seperti menu, gambar, font, video, dan tombol tetap bekerja. Periksa juga tampilan ponsel karena gadget atau iklan dapat dimuat secara berbeda berdasarkan lebar layar.
Simpan tabel sederhana berisi URL awal, tujuan akhir, jumlah langkah pengalihan, sumber HTTP yang ditemukan, lokasi asal, tindakan, dan hasil uji ulang. Catatan tersebut membedakan masalah sertifikat, pengalihan, dan mixed content sehingga perbaikan berikutnya tidak mengulang tebakan yang sama.
HTTPS melindungi koneksi dan membantu menyatukan alamat yang dipakai pengguna serta mesin pencari, tetapi tidak menjamin sebuah artikel langsung diindeks atau mendapat peringkat. Audit dinyatakan selesai ketika dokumen utama tersedia melalui HTTPS, variasi HTTP menuju halaman yang benar, dan halaman tidak lagi bergantung pada sumber daya HTTP yang tidak aman.
Komentar
Posting Komentar