httpsのサイトへhttpの外部サイトをiframeで表示できない

Question

前提・実現したいこと

SSL化しました、「htpps～」のサイトに外部サイトの「http～」
のサイトをiframeで表示させたいです。
表示させる方法ご教示頂けますでしょうか。

発生している問題・エラーメッセージ

SSL化する前の「http～」のときは問題なく外部サイトをiframeで表示できてましたが、SSL化しますと表示されなくなりました。
真っ白で何も表示されていません。

該当のソースコード

<iframe src="http://www.hoge.com/index.html" frameborder="0" width="100%;">

試したこと

読み込む外部サイトURLを「http:」抜き、「//www～」で指定しましたが、表示されませんでした。
「http:」抜きでは、「https:」としてURLが指定されるようです。

一度、内部サイトの空のページをiframeで読み込んでそこからリダイレクトで外部サイトを表示しようと試しましたが、まったく上手く行きませんでした。

補足情報（FW/ツールのバージョンなど）

そもそも「https」のサイトに「http」の外部サイトをiframeで読み込む事はできないのでしょうか。

よろしくお願い致します。

Answer 1

常時SSL内で使用するiframeは、iframe内のアドレスもSSL化されていないと混在コンテンツでNGだったような気がします。

Comments

[sakio6]

ありがとうございます。

やはり、セキュリティ的な問題でNGなんでしょうか。
読み込み先がSSL化されていないと表示できないってことですよね？

[mayoi_maimai]

HTTPS（保護された通信）内にHTTP（保護されていない通信）が混ざっているのでダメということだと思います。
お互いHTTPSなら基本的には大丈夫だと思いますが、相手のサーバーがX-Frame-Optionsの設定でiframeの読み込みを禁止にしているとHTTPS同士でも無理だったはずです。

[sakio6]

読み込み先もHTTPSになってないとダメなんですね。
外部サイトは、こちらでどうこう出来ないので、対応方法考えてみたいと思います。
SSL化する前は読み込めていたので、相手がHTTPSにしてくれるといいのですが。
ありがとうございました。

Answer 2

表示できるはずだと思うのですが、１つ原因として考えられるものを思いついたので書かせていただきます。

サーバをSSL化したときに、もしかしたらCSPヘッダの設定をしませんでしたか？
CSPのframe-srcの設定ができていないと表示されません。

Comments

[sakio6]

ありがとうございます。
「CSPヘッダの設定」が何か良くわかっておらず申し訳ございません。
ただ、SSL化する際にサーバの設定を「SSL化にする」に変えただけ（チェックを入れて設定変更しただけ）でその他は変更していないのですが、「CSPヘッダの設定」はhtaccessのようにファイルに記述して設定するものなのでしょうか？

「CSPヘッダの設定」を少し調べてみたのですが、タグの書き方を説明したサイトはいくつか見つけたのですが、それをどこに書くのかが記載されておりませんでした。