SSL混在コンテンツの改善方法

Question

現在、ドロップシッピング用のサイトをシリウスにて作成しています。

ドメインの変更をしなければならなくなり、そのついでと言ってはなんですが、
サイトのURLも常時SSL化に変更しました。

使用しているレンタルサーバーはXサーバーで、その中でも無料で使える標準独自SSLを設定しました。

しかし、ブラウザのアドレスバーに表示されるはずの鍵マークが表示されていません。
表示はされているブラウザもあるんですが、!マーク付きで、クリックしてみると、

「この接続は安全ではありません」
「このWEBサイトには運営者を証明する証明書がありません」

などと出てきます。

SSLの設定にミスがあったのかと思い、Xサーバーのサポートに問い合わせてみますと、

「サーバーのSSL設定には問題ないが、https://~のサイトの中に、非SSL接続のURLであるhttp://~で参照しているコンテンツがある。」

との指摘を受けました。

CSSファイルや画像ファイルのURLが非SSL接続のURLである「http://～」の場合このような現象が起こるとの事です。

対処法としては「http://」のURLを「https://」に変更すれば問題は解決するとのアドバイスを受け、
非SSL接続のURLである「http://～」を「https://～」に変更したところ、すべてのブラウザで鍵マークが表示され、クリックしても、

「このサーバーへの接続は暗号化されてます」
「安全な接続」

と出てくるので、SSL化自体はうまくいったのですが、その代わり画像が表示されなくなってしまいました。

ドロップシッピング用のサイトなので、画像、バナー、API、カートなどは、会員登録しているドロップシッピングサービスプロバイダからの提供です。

サイトの性質上、そのDSPとのリンクは外せないのが現状です。

DSPは「もしもドロップシッピング」でSSL化されてはいません。

他に対処法は無いものかと、ネット上を探してみたのですが、やはり、

「http://~をhttps://~に書き換える」とか「http://~を //~に変える」などで、どれを試しても画像が表示されなくなります。

何かいい改善方法などがあれば教えていただければ幸いです。

Answer 1

サービス提供側が対応しないかぎり、HTTPSの利用は困難です。単なる情報提供系のサイトですらHTTPS化が進んでいる昨今、カートをHTTPでしか提供していない状態が続くのであれば、ある程度のところで見切りをつけたほうがいいかもしれません。

いちおう、自分のサーバにプロキシさせることでHTTPSの表示にすることはできるかもしれませんが、あまり安全性にはつながらない、ごまかしにしかなりませんし、技術的にも面倒です。HTTPSかAPIの利用か、どちらかを諦めるのが現実的としか言えません。

Comments

[moonphase]

maisumakunさんの意見には同意です。
私の回答は技術的な回答となりますので、この内容も踏まえてどうするかはkamikagiさんが判断していただければと思います。

もう一つ、権利処理の問題が残りますが技術的な解決方法としては、
外部リソースを全てサーバに取り込んでしまう方法もあります。

いずれにしろ、プログラミング以外の問題ばかりですね。

[kamikagi]

maisumakunさん、回答ありがとうございました。
会員登録しているDSPはカートだけSSL化しているので、取り敢えず出来る所までやってみるつもりです。

貴重なご意見、参考にさせていただきます。

Answer 2

httpsのページにhttpを記載すると、ブラウザの警告が出ます。
これはブラウザの仕様なので従うしかありません。

外部サイトから取得する各種リソースがhttpsに対応してない場合は、
外部のリソースを取ってきてそのまま垂れ流す簡易プロキシを挟んでみてはいかがでしょうか。

<img src="proxy.cgi?http://example.com/img/image.jpg">

きとんと対応するなら、外部サイトにhttpsの口を用意してもらえばいいです。

Comments

[kamikagi]

moonphaseさん、丁寧なアドバイスありがとうございました。
簡易プロキシを挟むというのは初めて聞きました。
記述して頂いたコードのとおり、proxy.cgi?をhttp://~の前に挟んでみましたが、
結果は同じでした。

サイトをhttpsにするかDSPの対応を待つか、どちらかにしようと思います。