ECCUBE4系で一部SSL化されず、Mixed Contentになってしまいます。。

Question

下記、解決出来ずにいます。。ご教授お願い致します。。

ーーーー

[EC-CUBE] EC-CUBE4.0.3 新規インストール
[レンタルサーバ] konoha wing
[OS] Linux web0051.sh.tyo1 3.10.0-962.3.2.lve1.5.25.12.el7.x86_64
[PHP] 7.3.5
[データベース] MySQL 5.7.26-log
[WEBサーバ] Apache
[ブラウザ] googlechrome 76.0.3809.132
[導入プラグインの有無] 無
[カスタマイズの有無] 無
[現象]

konoha wingのレンタルサーバーを使い、独自SSL設定後、SSH接続にてEC-CUBE4.0.3のダウンロード＆インストールを行いました。

インストールページや管理画面TOPとWEBページTOPに関してはSSLが有効になり、保護されたページが表示されます。ただ、その他のページはhttpsになっているもMixed Contentとなり、管理画面内での送料設定やカートの追加、プラグイン利用する為の認証キーの登録等が利用出来ない状態です。。

キャッシュクリアも試しましたが変化はありません。

ーーーーー

.htaccessはECCUBEからダウンロードした内容ままです。

DirectoryIndex index.php index.html .ht

<FilesMatch "^composer|^COPYING|^.env|^.maintenance|^Procfile|^app.json|^gulpfile.js|^package.json|^package-lock.json|web.config|^Dockerfile|.(ini|lock|dist|git|sh|bak|swp|env|twig|yml|yaml|dockerignore)$">
    order allow,deny
    deny from all
</FilesMatch>

<Files ~ "index.php">
    order deny,allow
    allow from all
</Files>

<IfModule mod_headers.c>
    # クリックジャッキング対策
    Header always set X-Frame-Options SAMEORIGIN

    # XSS対策
    Header set X-XSS-Protection "1; mode=block"
    Header set X-Content-Type-Options nosniff
</IfModule>

# デザインテンプレートを適用するため10Mで設定
<IfModule mod_php7.c>
    php_value upload_max_filesize 10M
</IfModule>



<IfModule mod_rewrite.c>
    #403 Forbidden対応方法
    #ページアクセスできない時シンボリックリンクが有効になっていない可能性あります、
    #オプションを追加してください
    #Options +FollowSymLinks +SymLinksIfOwnerMatch

    RewriteEngine On


    # Authorization ヘッダが取得できない環境への対応
    RewriteCond %{HTTP:Authorization} ^(.*)
    RewriteRule ^(.*) - [E=HTTP_AUTHORIZATION:%1]

    # さくらのレンタルサーバでサイトへのアクセスをSSL経由に制限する場合の対応
    # RewriteCond %{HTTP:x-sakura-forwarded-for} !^$
    # RewriteRule ^(.*) - [E=HTTPS:on]

    RewriteRule "^.git" - [F]
    RewriteRule "^src/" - [F]
    RewriteRule "^app/" - [F]
    RewriteRule "^tests/" - [F]
    RewriteRule "^var/" - [F]
    RewriteRule "^vendor/" - [F]
    RewriteRule "^node_modules/" - [F]
    RewriteRule "^codeception/" - [F]
    RewriteRule "^bin/" - [F]
    RewriteRule "^dockerbuild/" - [F]

    RewriteCond %{REQUEST_FILENAME} !-f
    RewriteCond %{REQUEST_FILENAME} !^(.*).(gif|png|jpe?g|css|ico|js|svg|map)$ [NC]
    RewriteRule ^(.*)$ index.php [QSA,L]
</IfModule>

# 管理画面へのBasic認証サンプル
#
#     AuthType Basic
#     AuthName "Please enter username and password"
#     AuthUserFile /path/to/.htpasswd
#     AuthGroupFile /dev/null
#     require valid-user
#
#     SetEnvIf Request_URI "^/admin" admin_path  # ^/adminは, 管理画面URLに応じて変更してください
# <RequireAll>
#     Require all granted
#     Require not env admin_path
# </RequireAll>#

Comments

[退会済みユーザー]

公式サイトのフォーラムのほうがEC-CUBEだけに特化した有識者が多いのですが避けた理由はなんですか？

[退会済みユーザー]

そちらでも質問は投げさせていただいてます

[退会済みユーザー]

マルチポストは正しくマルチポストをしましょう

マルチポストなのをわからないようにマルチポストをする場合は、ネチケット違反です。
このサイトの利用時はマルチポストは非推奨となっています。

[退会済みユーザー]

そうなのですね。。しらずにすみませんでした。削除します

Answer 1

とりあえず対応のバッドノウハウですが・・・

自サイト内へのリクエストに関しては、HTTP Response HeaderでContent-Security-Policy: upgrade-insecure-requests;を指定してブラウザにhttpsでのリクエストを行ってもらう手もあります。

(developer.mozilla.org)CSP: upgrade-insecure-requests

<IfModule mod_headers.c>
    # クリックジャッキング対策
    Header always set X-Frame-Options SAMEORIGIN

    # Mixed Content 対策
    Header always set Content-Security-Policy "upgrade-insecure-requests;"

    # XSS対策
    Header set X-XSS-Protection "1; mode=block"
    Header set X-Content-Type-Options nosniff
</IfModule>

Answer 2

ブラウザのコンソールを開いたらどのファイルがHTTPアクセスになっているか確認できますので、それを確認して、HTTP作り付けになっていないか調べてみましょう。

Comments

[退会済みユーザー]

早々にご回答頂きありがとうございます。
そちらは確認しているのですが、
sample.com/admin/orderなど、POSTが絡んでくるところがhttpとして表示され、httpsにする方法がわかりません。。

サイト表示上
<form name="search_form" id="search_form" method="POST" action="http://sample.com/admin/order">

twigファイル上
<form name="search_form" id="search_form" method="post" action="">

[maisumakun]

となると、EC-CUBE内の設定でサイトドメインなどをHTTPSとして設定する必要があるのかもしれません。