В ходе последних рекомендаций от поисковых систем получаем периодически сообщения в панелях для Вебмастеров от Гугла и Яндекса о необходимости переезда сайта с HTTP на HTTPS протокол.
Ищем следующее в поисковой системе Яндекс:
https://yandex.ru/search/?text=test
При включенном JavaScript, по клику Яндекс делает подмену у каждой ссылки для найденных сайтов с ссылки сайта на свою с
HTTP протоколом.
Пример:
у меня 5-ая по счету - это страница Википедии:
https://ru.wikipedia.org/wiki/%D0%A2%D0%B5%D1%81%D1%82
Яндекс делает замену этой ссылки на
http://yandex.ru/clck/jsredir?....
На странице Яндекса скрипт jsredir генерируется HTML файл, который производит редирект на страницу
https://ru.wikipedia.org/wiki/%D0%A2%D0%B5%D1%81%D1%82
html код на HTTP странице выглядит так:
<html><head><meta name="referrer" content="always"/><noscript><META http-equiv="refresh" content="0;URL='https://ru.wikipedia.org/wiki/%D0%A2%D0%B5%D1%81%D1%82'"></noscript></head><body><script>(function(e){if(/MSIE (\d+\.\d+);/.test(navigator.userAgent)){var t=document.createElement("a");t.href=e;document.body.appendChild(t);t.click()}else{if (navigator.userAgent.indexOf("YaBrowser") > -1) {try{window.opener=null} catch (exc){};}location.replace(e)}})("https://ru.wikipedia.org/wiki/%D0%A2%D0%B5%D1%81%D1%82")</script></body></html>
Таким образом,
имеем открытую передачу данных по нешифрованному HTTP протоколу от Яндекса в браузер пользователя на этапе между поиском в Яндексе и реальным посещением необходимой страницы.
Поэтому у меня возникают вопросы:
1. Правильна ли такая реализация Яндексом, не противоречит ли она рекомендациям поисковых систем?
2. Безопасно ли это?
3. Почему Яндекс так сделал?
Для чего мне нужны ответы на эти вопросы? Я реализую свои веб сервисы, и учусь у гигантов-компаний Google-а и Яндекса как реализовывать похожие механизмы в своих веб проектах. А тут оказывается у Яндекса конкретная лажа в плане реализации безопасности пользователя.
На вопрос 3 думаю ответ такой: сделано для того чтобы при переходе https -> http терялся referer, другого разумного объяснения не вижу.
У Гугла такой проблемы нет, у него все идет через HTTPS.
У mail.ru поиска (go.mail.ru) имеется точно такая же проблема. Но сообщить им не удастся, т.к. они не принимают запросы по безопасности запросов через домен go.mail.ru.
Простой
