HTTPS Seite in HTTP Frame einbinden

[Notesfuzzi]

Hallo, sorry für den Threadtitel, eine bessere Beschreibung fiel mir nicht ein.

Wenn ich eine Website habe die unter der URL http://www.firma.de erreichbar ist, und sich auf dieser Seite ein Frame befindet, der den Inhalt (die Anmeldeseite) eines Servers anzeigt, der auf HTTPS läuft (Zertifikat von einer vertrauenswürdigen CA unterschrieben), gibt der Browser dann eine Warnmeldung aus, weil die in der Adressleiste angezeigte URL nicht mit dem Hostnamen übereinstimmt, für den das Zertifikat erstellt wurde ?

Mein Ziel ist es auf einer Website, die auf einem IIS läuft die HTTPS Anmeldemaske eines Domino Servers in einem Frame einzubinden.

Gruß

Michael

Bearbeitet 14. Februar 2010 von Notesfuzzi

[VaNaTiC]

Ich denke, dass wird nicht einfach. Soweit sich das mir erschliesst ist das ein Sicherheitsfeature in neueren Browsern um Cross-Site-Scripting zu unterbinden, denn genau das könntest Du dann machen

Versuchen könntest Du in den Browsereinstellungen beide Sites als "vertrauenswürdig" einzustufen. Eventuell lässt sich die Warnung damit verhindern.

[RipperFox]

@Notesfuzzi:

Seit Jahrzehnten wird dem Benutzer zur Sicherheit gegen Phishing eingebläut: "Achte genau auf die Adresszeile im Browser!" und nun willst Du deine Nutzer dazu bringen, diese Info komplett zu ignorieren?

Ich hoffe die meisten User würden sich hüten, da ihre Logindaten einzugeben - schließlich steht da, die Verbindung wäre zumindest teilweise unverschlüsselt.

Kurz: Sowas macht man nicht..

Grüße

Ripper

[Notesfuzzi]

Ripper, ich stelle die Frage in den Raum, ob es zu einer Zertifikatsfehlermeldung kommt und du kommst mit allgemeinen Stammtischparolen.

Ich habe das übrigens gelöst, indem ich eine neue Loginseite gebaut habe, die unter webmail.firma.com zu erreichen ist. Die eingegebenen Login Daten werden im Anschluss verschlüsselt an die Loginseite des Domino Servers übergeben. Die Loginseite des Domino Servers wird also nicht in die bestehende FirmenWebsite eingebunden.

[RipperFox]

Na also, keine Mischung von HTTP und HTTPS mehr - der Stammtisch ist zufrieden (..und der ernsthafte Webentwickler wäre das wohl auch..).

Grüße und schönes Wochenende!

[oneside]

Also von so einem durcheinander von vorschlüsselten und nicht verschlüsselten Seiten ist abzuraten. Damit macht man nur die User verrückt und das ganze wirkt einfach eher unprofessionell bzw auch schnell bösartig (auch wenn man das gar nicht ist).