Korrigiert Eure Blogs! Jetzt!
Wichtiger Hinweis
Schlechte Zeiten für Bloghelden: Mit der Bekanntgabe des Abschaltdatums von Twoday zum 31.05.2018 ist diese Initiative zur Blogbereinigung obsolet geworden. Nutzen Sie die verbleibende Zeit zur Sicherung Ihrer Bloginhalte, z.B. mit diesem Tool.
Vor ziemlich genau einem Jahr hat Twoday auf einen zweigleisigen Protokollbetrieb umgestellt: seither können alle Blog- und Plattformseiten entweder im http- oder im https-Modus aufgerufen werden.
Leider gibt es keine strikte Festlegung, welcher Modus verlässlich genutzt wird und so ist man, je nachdem, mit welchem Aufruf man zu twoday.net gelangt ist, mal im unsicheren http, mal im sicheren (weil verschlüsselten) https Mode:
| URL-Aufruf im Browser | Aktivierter Modus |
|---|---|
| twoday.net | http |
| http://twoday.net | http |
| www.twoday.net | https |
| http://www.twoday.net | https |
| https://twoday.net | https |
| https://www.twoday.net | https |
Da man so nicht sicherstellen kann, in welchem Modus Besucher auf das eigene Blog gelangen (und die Wahrscheinlichkeit für https zudem deutlich größer ist), hat das gravierende Auswirkungen auf die Blogfunktionalität. Ist ein Besucher nämlich im sicheren https-Modus, verweigert der Browser die Ausführung und Anzeige aller Ressourcen, die im Blog per "unsicherer" http-URL aufgerufen werden, z.B.
- script-Aufrufe (z.B. Counter, Statistiken, IP-Anzeigen)
- embed-Befehle (z.B. Youtube-Videos)
- iframe-Einbettungen (z.B. Wetter-Widgets, Facebook, FeedJit Live Traffic)
Dies bedeutet, dass Ihre Counter-/Statistik-Skripte nicht ausgeführt werden, Embed-Videos schwarz bleiben und iframe-Einbettungen nicht erscheinen! Die Lösung dieses Problems ist im Grunde einfach:
Nur URLs, die mit https beginnen, werden immer (d.h. in allen Modi) ausgeführt!Ein Besucherzähler, der nur Besucher zählt, die über http auf den Blog kommen, ist sinnlos, ebenso wie ein embed-YouTube-Video, das bei einem Besucher angezeigt wird und beim nächsten nicht.
TippStellen Sie alle script-, embed- und iframe-Aufrufe in Ihrem Blog auf https:// um.
Im Prinzip ist diese Umstellung sehr einfach: Sie müssen die unwirksamen http-Referenzen identifizieren und im Blog (= Ihren Twoday Skins oder Beiträgen) finden, dann prüfen, ob der Anbieter auch https bereitstellt, um anschließend das http-Kürzel auf https zu ändern. Im folgenden beschreibe ich, wie das am effektivsten geht.
1. Unwirksame http-Referenzen identifizieren
Zur Unterstützung habe ich ein kleines Tool entwickelt, das für die zuletzt geänderten 750 Twoday-Blogs (das sind die ersten fünfzig Seiten der Twoday-Blogroll) alle unwirksamen http-Aufrufe findet und auflistet.
Das Tool durchsucht dabei nicht Ihren gesamten Blog, sondern nur die aktuelle Homepage und die derzeit dort angezeigten Beiträge. Die Analyseergebnisse werden nicht realtime ermittelt, sondern reflektieren die Resultate des letzten Analyselaufs vom .| Lauf | Datum |
|---|---|
| # |
Wenn Sie Änderungen in Ihrem Blog vornehmen, werden diese erst nach dem nächsten Analyselauf hier angezeigt!
Bitte wählen Sie in der nachstehenden Auswahlbox Ihren Blog aus, um unwirksame http-Aufrufe anzuzeigen, die in Ihrer Homepage verwendet werden:
Falls Sie eine grüne Nachricht erhalten: Prima! Ihre Homepage und die dort angezeigten Beiträge enthalten keine unwirksamen http-Aufrufe. Sie brauchen nichts zu unternehmen.
Eine rote Nachricht zeigt an, dass in Ihrem Blog unwirksame http-Aufrufe gefunden wurden. Diese werden unter der Nachrichtenbox vollständig mit dem jeweiligem HTML-Befehl und der verwendeten (hier evtl. verkürzt angezeigten) URL gelistet.
2. Stellt der Anbieter den Dienst auch per HTTPS bereit?
Zunächst macht es Sinn, zu prüfen, ob die verwendete http-URL überhaupt noch existiert. Mancher Anbieter ist aus dem Markt gegangen oder von anderen Unternehmen übernommen worden (Bsp. sitemeter.com, formspring.me). Falls die URL-Adresse gültig ist und Sie dieses Angebot/diese Funktion weiter in Ihrem Blog nutzen möchten, ist zu prüfen, ob dieser Service auch im sicheren HTTPS Modus verfügbar ist.
Für die wichtigsten und am häufigsten verwendeten Dienste finden Sie nachstehend diese Information — für andere müssen Sie diese ggf. selbst ermitteln. Ist die URL jedoch nicht mehr sinnvoll nutzbar, entfernen Sie die Referenz (z.B. den Script-Aufruf) aus dem Skin und speichern ihn neu ab.
Infos zu den am häufigsten benutzten Diensten anzeigen
| URL / Domäne | Häufigkeit | Existiert noch? | Bietet HTTPS? | Empfehlung |
|---|---|---|---|---|
3. http-Referenzen im Blog finden
Twoday-Blogs setzen sich aus sog. Skins zusammen, welche das Layout und die Darstellung des Blogs bestimmen. Der wichtigste Skin, in dem wohl die meisten http-Referenzen zu finden sein werden, ist der Skin der Hauptseite Site.page.
Zu den Skins gelangen Sie über Klick auf Admin1) → Layout → Skins (HTML). Die von Ihnen in der Vergangenheit bearbeiteten (d.h. irgendwann einmal veränderten) Skins finden Sie aufgelistet, wenn Sie auf Bearbeitete Skins klicken. Alle dort angezeigten Skins könnten http-Referenzen enthalten, oft z.B. in Story.display oder Site.weblogStatus.
1) Falls Sie Ihre Menüleiste ausgeblendet haben, kommen Sie mit {ihrblogname}.twoday.net/manage in den Admin-BereichWeitere potenzielle Fundorte von gesuchten http-Referenzen sind die Sidebar-Module. Klicken Sie auf der Admin-Seite oben auf den Tab Module2) und prüfen Sie z.B. den Inhalt der Freetext-Module (1-5) oder das Web-Counter Modul, ob dort eine der unwirksamen http-URLs verwendet wird.
2) Zu den Sidebar-Modulen gelangen Sie auch über die URL {ihrblogname}.twoday.net/modules/sidebarAußer in den Skins und Modulen können unwirksame http-Referenzen auch in den Beiträgen selbst vorkommen, wobei dies dann meist embed-Befehle sind (script / iframe sind in Beiträgen ja generell verboten). Wenn Sie embed-Befehle finden, stellen Sie sicher, dass diese nur noch https-Quellen (z.B. Videos) aufrufen.
Arbeiten Sie Ihre Liste der unwirksamen http-Referenzen ab, bis Sie alle Aufrufe gefunden und diese
- entweder auf https geändert haben,
- mit einem neuen Anbieter (z.B. ein neuer Counter) ersetzt haben,
- oder aus dem Code entfernt haben.
4. Twodays Web-Counter Problem
Im Web Counter Modul bietet Twoday im Standard drei vordefinierte Counter-Einbindungen an: blogcounter.de, sitemeter.com und blogstats.de:
Jede dieser drei Optionen ist mittlerweile unbrauchbar: blogcounter.de bietet keinen sicheren https-Modus an (und zählt daher nur http-Besuche), sitemeter.com und blogstats.de existieren nicht mehr. Sollten Sie eine dieser Optionen gewählt haben, deaktivieren Sie sie!
Nutzen Sie stattdessen die verbleibende Option "Anderer Counter" und kopieren Sie in das Textfeld den Code zur Einbindung des von Ihnen gewählten Counters mit https-Fähigkeit. Kostenlose Counter mit https-Eignung gibt es z.B. bei statcounter.com oder trendcounter.com (weitere Empfehlungen gerne hier als Kommentar posten).
Der jeweilige Counter-Anbieter gibt vor, welcher Einbettungscode von Ihnen in das Textfeld "Anderer Counter" zu kopieren ist.
5. Twodays Google Analytics Problem
Im nicht direkt zugreifbaren Skin root.statsCounter, der in jede Twoday-Blogseite eingebaut wird, liegt ein weiteres Problem verborgen: Twodays eigener Google-Analytics-Aufruf funktioniert nicht unter https, da die Skripteinbettung mit einer fixen http-Adresse gespeichert ist. Dadurch wird kein einziger Twoday-Besuch via https gezählt. Außerdem ist das derzeit gerufene Skript (urchin.js) schon ewig veraltet und sollte längst durch eine neue Version ersetzt worden sein (analytics.js). Dieses Problem können wir bei unserer Bereinigungsaktion gleich mit beheben: wir ersetzen den veralteten Code im Skin root.statsCounter durch einen korrekten, aktuell gültigen Code.
6. Letzte Worte Tipps
- Verwenden Sie keine Ressourcen mehr, die nur über http erreichbar sind. Einzige Ausnahme sind Bilder, die (derzeit noch) im sicheren Modus angezeigt werden, auch wenn sie nur eine http-Url haben. Aber: Wenn der Bildspeicherplatz (wie z.B. Flickr, Cloudinary) ein https-Protokoll anbietet, nutzen Sie dieses und binden Bilder über https ein!
- Verwenden Sie keine Flash-Ressourcen mehr (SWF-Dateien). Flash ist tot, böse und steht mit dem Teufel im Bunde. Es hat Gründe, weshalb Chrome, Firefox u.a. die Ausführung von Flash im Browser mittlerweile standardmäßig gesperrt haben. Wirklich! Kein Flash mehr!
- Wenn Sie Videos noch über embed einbinden wollen, verwenden Sie nur noch https-Adressen. Nutzen Sie für Videos und andere Dienste von derzeit 20 Plattformen alternativ das bewährte Videoload-Tool, welches immer die korrekten https-Adressen generiert.
Ich werde die Analysedaten über die unwirksamen http-Adressen in unregelmäßigen Abständen aktualisieren. Sie können dann anhand der neuen Daten kontrollieren, ob Sie bereits alle Probleme erfolgreich bereinigt haben.
Dieses Tool ist Open Source — Lizenz MIT — Code Github
Danke
an sie, mein lieber Herr NeonWilderness, für ihre unermüdliche Hingabe in Bezug auf die twoday Blogs. :-)Habe mal die meisten Dinge umgesetzt, leider wird mir-wie auch bei ihnen im blog- immer noch via FF 52.6.0 ESR Tor, aber auch sonst, eine unsichere Verbindung angezeigt.
Da verliert man-nachdem mich auch twoday via tor ungefähr alle 10 Sekunden wieder auslogt- schnell den Spass beim "sicher machen" Basteln.
Dennoch ein wichtiger Schritt in die richtige Richtung wird enorm erleichtert durch ihre Anleitung(en).
Gruß vom blödbabbler
Danke für Ihre Worte, lieber Herr Blödbabbler! Hm, das ist wohl möglich, dass Sie bei mir immer noch eine unsichere Verbindung angezeigt bekommen, da ich noch einige Links auf http-Adressen habe (sie wissen ja: der Prophet im eigenen Lande...). Firefox ist da auch besonders pingelig, Chrome nicht so, und zu Tor kann ich wenig sagen. Werde mal im eigenen Blog durchwischen, damit das gelbe Warndreieck hoffentlich bei Ihnen verschwindet.
Auf meiner Unternehmenswebsite habe ich TOR-User übrigens mittlerweile komplett ausgesperrt, da 99,9% der TOR-Benutzer nur das Kontaktformular mit Werbung zuspammen. Da man seit einiger Zeit die TOR-Exit-Nodes (also die IPs, mit denen TOR-User letztlich ins Internet-Gateway gehen) täglich aktualisiert von hier herunterladen kann, werden die jetzt bei mir per PHP-Script immer gleich zum Internet Crime Complaint Center des FBI umgeleitet. Seitdem ist Ruhe. ;)