Da Chrome 68: i giochi HTTP segnalati come non sicuri!

07/10/2019 17:49:36

Perbacco, ho detto "anni di margine"? Volevo dire "mesi"!

Confermo, noi abbiamo attivato https ma non cloudflare. Ed è importante ricordare che ottenere un certificato SSL è gratis solo da tempi abbastanza recenti (che è il motivo per cui ora altervista può permettersi di regalarli a sua volta agli utenti), qualche anno fa potevano costare anche parecchio più dell'hosting. E quei pbc che manco si appoggiano su un hosting esterno hanno diversi grattacapi pure oggi, perchè ottenere i certificati SSL gratuiti a mano è comunque piuttosto macchinoso... non è sicuramente paragonabile allo sforzo fatto dai gestori di un tipico play by forum (riassumibile con "svegliarsi la mattina e scoprire che forumfree è passato su https al posto tuo").

---

quota

01/11/2019 02:39:55 e modificato da ghennadi72 il 01/11/2019 03:49:08

Soprattutto se la gestione "manuale" avverrà di default, come nel caso di flash, con reset dell'impostazione scelta ogni volta che chiudi il browser e necessità di ri-autorizzare ogni volta il sito sul quale non vuoi bloccare flash, perchè chrome ti impedisce di default di salvarla come autorizzazione a tempo indeterminato.

E' questo trattare gli utenti da deficienti che non reggo più da parte di google & co e che personalmente mi invoglierebbe a fare il contrario solo per principio. Peccato che google goda di una posizione dominante per cui è molto più probabile che il trattare gli utenti come deeficienti da proteggere da loro stessi non c'entri nulla e che semplicemente google si senta in diritto di dettare legge a piacimento, stabilire cosa è "standard" e cosa non lo è, e cacciare "fuori mercato" chi non si adegua.

Però il mese scorso sono stato per la prima volta in vita mia in Molise, un weekend. Nessuna app installata in quei due giorni, nessuna tessera di supermercato attivata, nessuna oscura informativa ingannevole firmata incautamente e di fretta, niente. Epppure tempo due giorni iniziano ad arrivarmi, oltre alle consuete richieste di recensire ogni dannato negozio molisano al quale sono passato affianco, dai caseifici di mozzarella di bufala ai sexy shop, anche chiamate da call center di telemarketing aggressivo con prefissi di Campobasso e Isernia, alla faccia del GDPR e alla faccia dei bei giorni antichi in cui pensavamo che Bill Gates fosse Il Signore del Male.

---

quota

01/11/2019 03:37:20 e modificato da ghennadi72 il 01/11/2019 04:09:07

Si beh attenzione che dipende anche dall'hosting al quale ti appoggi. Qualunque azienda in un'ottica di massimizzazione dei guadagni e riduzione dei costi vede un evidente margine di guadagno nel pagare di meno i certificati ed offrire il servizio allo stesso costo di prima, quindi puoi benissimo trovarti prigioniero di contratti e profili di servizio sottoscritti anni addietro, per cui già solo per avere diritto ai "nuovi" certificati SSL gratuiti ti tocca come minimo cambiare piano hosting, operazione che raramente è gratuita e indolore, magari rinunciando ad altri servizi e features decisamente più importanti per un PbC in cambio di un certificato https che a te come PbC non serve a una emerita ciolla se non per avere il bollino verde sul browser.

Nel nostro caso ci siamo dati come deadline la fine dell'anno, per decidere se:

a) Pagare di più per mantenere l'attuale piano hosting, conveniente per una serie di features che i nuovi piani hosting non prevedono, e acquistare un certificato SSL commerciale.
b) Cambiare piano hosting per avere il certificato SSL "dei poveri" (gratuito ma che va rinnovato manualmente ogni tot mesi a carico del cliente, con tutti i fastidi del caso) e perdendo alcune features del nostro attuale piano hosting che ci fanno molto comodo.
c) trovare un altro hosting che fornisca un certificato SSL commerciale e quindi non da riattivare ogni tot mesi, ma a prezzi che non siano consistentemente superiori a quello che paghiamo attualmente per avere features equivalenti.

Quindi il concetto di "adesso è gratis" è da prendere un po' con le pinze, perchè chi si trova in situazioni analoghe alla nostra potrà pure avere il certificato praticamente a parità di prezzo, ma magari con un piano hosting differente e che include meno features materialmente molto più utili per un PbC, a differenza dell'https che nel 99.9999% dei casi rappresenta solo un adeguamento d'immagine per non essere considerati "fuori mercato", più che una cosa di un qualsivoglia misurabile impatto sulla sicurezza degli utenti.

Quindi alla fine se vuoi mantenere le caratteristiche del tuo vecchio profilo di servizio E avere l'https ti scordi di farlo a costo zero e/o mantenendo la stessa "qualità" (features del piano hosting) a parità di prezzo.


Appunto. Noi ci siamo dati come deadline (avvisando gli utenti che hanno contenuti su altervista di ottenere nel frattempo l'https e bloccando tutti i servizi di hosting immagini non forniti di https) la fine dell'anno, poi parallelamente all'attivazione del protocollo https andremo brutalmente di query massive di sostituzione degli indirizzi http in https... e chi non si sarà adeguato nel frattempo, amen...


A parte tinypic che ovviamente era una situaizone non gestibile nè lato utente nè lato gestore, il problema non l'abbiamo tanto con gli avatar (l'immagine in scheda è una e la miniatura da chat è addirittura caricata direttamente sul nostro dominio) quanto coi certificati degli oggetti personalizzati dai crafter, che sono effettivamente centinaia.

---

quota

01/11/2019 03:38:45

Ne avessi citato uno che non ha dietro una realtà commerciale o non si basi su network gestiti da realtà commerciali 😇

---

quota

06/12/2019 01:35:18

Iniziata la migrazione finale, per il momento con la versione gratuita di Let's Encrypt. Un lavoro infame anche solo per la revisione delle pagine e la rimozione dei riferimenti indesiderati ad http e sostituzione ad https.

Una parte del lavoro in effetti può essere automatizzato (trovo comodissimo TextCrawler, in versione free) se si sta attenti alle sostituzioni automatizzate massive su file multipli, mentre per le funzioni più delicate sto procedendo manualmente.

In ogni caso per i nuovi avatar e immagini di oggetti certificati il sistema già da un po' accetta solo immagini hostate su servizi con https o da altervista a condizione che sia stato attivato (gratuitamente per l'utente) il protocollo https. Abbiamo confermato la deadline del 31 dicembre, oltre la quale chi sta già usando altervista per le immagini dei certificati o delle schede PG, deve passare a sua volta ad https, poi procederemo con query massicce per sostituire gli URL già memorizzati sostituendo l'http con https.

La decisione finale sul tipo di certificazione ssl di cui avvalerci abbiamo ancora un mese di tempo per prenderla, ma già ora IGI è raggiungibile da https://www.ilgrandeinverno.it.
Ho inserito anche una regola rewrite nel .htaccess per ridirezionare automaticamente chi inserisce il vecchio indirizzo con http su https

---

quota

03/01/2020 01:47:49 e modificato da ghennadi72 il 03/01/2020 02:06:15

Ecco, vorrei tornare sull'argomento, reduce dal bagno di sangue che c'è costato in questa mesata il passaggio definitivo ad https. Proprio perchè non partendo da zero, ma da un piano hosting creato diversi anni fa, SSL gratuito sul nostro piano, nisba.

Per inciso sia Let's Encrypt che AutoSSL non sono erogati dall'host quindi è anche piuttosto scandaloso che lo facciano passare come un "loro" servizio che, bontà loro, ti elargiscono a gratis, dato che entrambi i certificati sono rilasciati da terzi e il secondo in particolare fa parte del pannello gestionale cPanel.

Ad oggi un piano hosting con le stesse caratteristiche di quello che avevamo noi E il supporto per l'SSL gratuito (Let's Encrypt o AutoSSL) ci sarebbe costato dal 60% al 110% in più di quello che già pagavamo. Tutte le soluzioni a parità di prezzo, confermo che sarebbero state un downgrade tecnico sotto diversi punti di vista.

Quindi in un certo senso devo "ringraziare" il patatrack combinato dall'assistenza di netsons perchè mi ha messo in condizioni di trattare per un "risarcimento" visto il danno causatomi (e a onor del vero non ci speravo, quindi tanto di cappello).

Ma di fatto, se non ci fosse stato il patatrack combinato da loro per avere il certificato SSL "gratis" avrei dovuto comunque sborsare dal 60% al 110% in più.
Idem chi parte da zero, a differenza del sottoscritto, che anni fa con la stessa cifra poteva avere un piano hosting più performante di quelli a cui può accedere oggi, perlomeno col mio servizio hosting.


Infine va ricordato a chi sta passando ad https che i servizi gratuiti come Let's Encrypt e AutoSSL forniscono la più basilare delle certificazioni, la DV (domain validated) ossia assicura solo che le comunicazioni con quel sito sono crittate ma non forniscono alcuna garanzia sul proprietario, la sua identità, affidabilità, eccetera perchè non viene effettuata alcuna verifica sull'intestatario del dominio, manco sul suo nome e cognome o la sua esistenza in vita (un po' come quelli che mettono un nickname come responsabile del trattamento dati nell'informativa GDPR = fumo negli occhi).

Per certificazioni più rigorose é necessario pagare belle somme (specie se si vuole estendere la certificazione ai sottodomini) e francamente è una cosa che va aldilà degli orizzonti di spesa di chiunque non abbia soldi da buttare per una attività amatoriale e senza fini di lucro.

Quindi nessuno pensi che con Let's Encrypt o AutoSSL avrà la barrettina verde nel browser o il logo aziendale o che farà balzi da gigante nei ranking di ricerca di google. I certificati gratuiti servono solo per levarsi dalle palle quei fastidiosissimi avvisi terroristici di sicurezza e segnalazioni di sito potenzialmente non sicuro che alcuni browser applicano e a evitare di essere ultrapenalizzati nei ranking di ricerca.

Quindi a conti fatti gli unici ad avere qualcosa da guadagnarci (e in effetti siamo costretti a farlo) sono i titolari dei siti web, mentre come detto più e più volte, dal punto di vista della sicurezza degli utenti non cambia assolutamente una ciolla, specie se il gioco è totalmente gratuito e non effettua alcuna forma di vendita di gadget, donazioni vere o fasulle, richieste di dati personali, eccetera.

---

quota

03/01/2020 21:31:11

Beh, certo... ma visto l'argomento di questo thread, credo che già soltanto levarsi di torno il terrorismo psicologico del lucchetto rosso sia sufficiente. Dubito fortemente che l'utente di un gioco amatoriale online con zero transazioni voglia avere garanzie tecniche sull'affidabilità dell'intestatario del dominio prima di rilasciargli il suo preziosissimo indirizzo mail (che nel 99% dei casi è l'unico dato richiesto).

---

quota

05/01/2020 17:59:21

Visto che il grafico di inizio discussione è datato, se può interessarvi, ho trovato questo grafico aggiornato rilasciato da Firefox. Indica la percentuale di pagine HTTPS caricate con Firefox sul totale delle pagine richieste.

Negli USA circa il 90%, in Giappone circa l'80% e a livello globale circa l'80%. Volenti o nolenti è il nuovo protocollo di trasmissione del web. Non saranno soltanto i browser a "spingere" per la cosa ma anche gli hosting che, essendo realtà a pagamento perciò business, andranno sempre di più in quella direzione. Credo sia un punto di non ritorno per il classico protocollo HTTP. Almeno secondo i dati. Fortunatamente l'applicazione, proprio perchè sta diventando prepotentemente lo standard, dovrebbe risultare sempre più semplice e alla portata di tutti anche a livello economico.

In qualche modo la stessa cosa accade per il protocollo FTP che sta andando progressivamente in pensione per SFTP. Molti hosting lo stanno disabilitando obbligando il passaggio ad SFTP.

quota

Games as a Service

I videogiochi "games as a service": è la fine di un'era?

D&D Next

Diamo uno sguardo in anteprima al nuovissimo Dungeons & Dragons Next!

Kyusai GdR

Intervista al gestore del play by chat manga Kyusai GdR ambientato in un moderno Giappone fantascientifico

Live Action Role Play

Analisi dell’attività ludica LARP per mettere in evidenza i suoi utilizzi come strumento terapeutico, didattico e di teambuilding