[Ninux-Wireless] Problematica Nodeshot+Piwik e certificati SSL self-signed

[Nemesis]

Salve a tutti,

volevo condividere una problematica con voi.

Ho dovuto cambiare qualcosa sull'integrazione di piwik in nodeshot
perchè per come l'avevo fatta inizialmente il javascript di piwik veniva
caricato con:

//analytics.frm.ninux.org/<ecc..>

che però nel caso nostro su test.map.ninux.org caricava lo script via
HTTPS il che è un problema perchè  la nostra istanza di piwik ha un
certificato self-signed che viene considerato farlocco dal browser.

I vari browser caricano contenuti statici via HTTPS con certificati
self-signed solo da fonti che sono state esplicitamente accettate dagli
utenti.

Vi faccio un esempio per farvi capire meglio perchè sono SICURO che non
avete capito perchè io c'ho sbroccato diverse volte prima di capire
perchè non venivano caricati alcuni contenuti da alcuni siti.

Supponiamo che abbiamo un sito che usa due domini diversi che hanno due
certificati SSL self-signed diversi:

  * https://bellissimosito.it dove ci sono le pagine del sito
  * https://static.bellissimosito.it dove ci sono i css, le immagini ed
    i javascript

Ora supponiamo di aprire https://bellissimosito.it, otterremo un warning
dal browser che ci dice che il sito non è affidabile bla bla bla,
accettiamo di procedere e noteremo un bellissimo sito bianco, senza
immagini, nè css, solo testo.

Perchè?

Perchè non abbiamo messo un eccezione per il certificato self signed di
https://static.bellissimosito.it, e dato che non apriamo esplicitamente
quella pagina, il browser di default blocca le richieste HTTP e non
carica nè css, nè immagini, nè javascript.

Se però apriamo in un'altra tab del browser il sito
https://static.bellissimosito.it, mettiamo l'eccezione di sicurezza e
poi torniamo su https://bellissimosito.it e aggiorniamo, vederemo
finalmente tutte le immagini e la grafica del sito.

Quindi tornando a noi, per come era impostato prima piwik non loggava un
cazzo e le statistiche segnavano quasi 0 visitatori ogni giorno (i
giorni in cui non segnava 0 era molto probabilmente perchè quei
visitatori avevano messo l'eccezione di sicurezza su
analytics.frm.ninux.org).

Il fatto che i visitatori fossero prossimi allo 0 all'inizio mi faceva
quasi piangere: ho pensato limortaccidepippo non ci si stanno inculando
minimamente :D, ma poi mi sono insospettito ... soprattutto dopo aver
parlato al telefono con Gigismir che mi ha fatto notare alcuni
dettagli.. la prima cosa che ho pensato è stata: ma allora le
statistiche non stanno funzionando!

Cmq questo è il commit che dovrebbe risolvere:
https://github.com/ninuxorg/nodeshot/commit/cb22e1a8368b2c5dadf9cf6c7f08029dfcf1fdc9

Vi chiedo un favore: fatevi un giro su https://ninux.nodeshot.org/ così
possiamo vedere se adesso le hits vengono loggate correttamente.

Ribadisco che ci servono dei certificati SSL validi per i servizi
essenziali.
Per il dominio nodeshot.org ne ho ottenuto uno gratuitamente e mi hanno
firmato anche diversi sottodomini.
Proverò a chiederlo anche per Ninux in futuro, amenochè mozilla &
friends non si sbrighino prima a lanciare questa fantastica iniziativa:
https://letsencrypt.org/

Nemesis
-------------- parte successiva --------------
Un allegato HTML è stato rimosso...
URL: <http://ml.ninux.org/pipermail/wireless/attachments/20150220/948f9f64/attachment-0001.html>