Por que não é possível digitar dados em espelhos sem SSL

«Espelho» é uma cópia de um site em outro domínio/falso. No hembling, os espelhos são frequentemente usados nos bloqueios. Se o espelho for aberto sem HTTPS (SSL/TLS), os dados não podem ser digitados. Não se trata apenas de «hackers no café», mas também de nódulos intermediários, desde um roteador infectado ao provedor, proxy e extensão prejudicial.

O que especificamente pode correr mal sem SSL

1. Roubo de login e senha

O HTTP passa tudo em aberto. Há bastante snifer 'a no Wi-Fi público ou no roteador - e a conta do intruso.

2. Roubo de sessão (sessão hijacking)

Os cookies de sessão sem 'Secure' são puxados e permitem entrar debaixo de si sem senha.

3. Trocar página/adereços

Qualquer «intermediário» pode inserir discretamente um falso formulário KYC, alterar o número de cartão/carteira de saída e substituir o endereço de suporte.

4. Trocas de pagamento e formulários «invisíveis»

A injeção de script altera os adereços pagos ou adiciona os carros-sabmites escondidos - o dinheiro vai para nenhum lugar.

5. SSL-stripping

Mesmo que o domínio «oficial» do HTTPS, um intruso online pode derrubá-lo à força em HTTP no espelho sem HSTS.

6. Phishing disfarçado de espelho

Um clone sem certificado (ou auto-escrito/esquerdo) se disfarça no espelho de trabalho e reúne logins, 2FA e dados de mapas.

Por que é também ilegal/caro para o operador

PCI DSS: digitação de dados de cartas em HTTP - violação direta. Enfrentam multas e revogação.

GDPR/leis semelhantes: PII/KYC em HTTP = falha na segurança de processamento. Riscos de multas e ordens.

Condições de licenciamento: a maioria dos reguladores exige HTTPS por todo o lado e proteção de dados pessoais/pagos.

Reputação e ADR: A discussão com o jogador em uma fuga em um espelho desprotegido está quase garantida para ser perdida.

Ataques típicos em espelhos sem SSL - dedos

Evil Twin Wi-Fi: ponto falso com o mesmo nome. Todo o tráfego HTTP é lido/alterado.

SPoofing DNS: Trocar a resposta DNS não leva para onde você pensou. O HTTP é difícil de notar.

Injeção de provedor/proxy: inserção de JS promocional/nocivo «no caminho».

Extensão-parasita no navegador: muda os formulários e números de carteira apenas em páginas HTTP.

Portais de capive (hotéis/aeroportos): Bloqueiam/substituem o HTTPS antes da permissão e o HTTP é uma armadilha perfeita.

"Mas há um castelo... - desmontando mitos

A fechadura do navegador está disponível apenas no HTTPS. Sem HTTPS, não há «fechadura» - e é uma bandeira vermelha.

O certificado auto-assinado/não-assinado não é «normal». É quase sempre um erro ou uma tentativa de MITM.

«Não há pagamentos, só login» é mais valioso do que dinheiro, e roubam dinheiro e documentos.

Como um jogador distinguir um domínio seguro em 30-60 segundos

1. O endereço é estritamente com 'https ://' e' cadeado 'sem erros.

2. Domínio em letra, nada de rn em vez de m, cirílicos em vez de latim.

3. Clique em «cadeado» → certificado emitido por uma autoridade de confiança, no SAN é este domínio.

4. As páginas de logon/carteira não contêm nenhum aviso «Not secure» ou «Mixed conteúdo».

5. Se duvidar, entre do marcador no domínio principal e passe para os espelhos apenas a partir de links internos do gabinete.

Comandos rápidos de verificação (se você consegue entrar no console)

bash
Mostrar cadeia e SAN openssl s _ cliente -conect mirror. example:443 -servername mirror. example -showcerts </dev/null 2>/dev/null      openssl x509 -noout -subject -issuer -dates -ext subjectAltName

Verificar cabeçalhos de segurança curl - sI https ://mirror. example      grep -Ei 'strict-transport-security    content-security-policy    x-content-type-options    x-frame-options    frame-ancestors    referrer-policy    set-cookie'

Certifique-se de que HTTP será modificado para HTTPS curl -I http ://mirror. example

Se o HTTPS não funcionar/discutir, não digite nada.

O que um operador tem de fazer (espelhos também «adultos»)

1. HTTPS em todo o lado: TLS 1. 2/1. 3, cadeia correta, HSTS preteload (após a liquidação do mixed conteúdo).

2. A proibição de conteúdo HTTP é um CSP rigoroso, apenas recursos HTTPS.

3. Redirect em todos os espelhos, política de cookie idêntica: 'Secure; HttpOnly; SameSite`.

4. Monitoramento CT da marca: nova emissão de certificado para domínio «similar» - alert e verificação.

5. Gravações CAA no DNS: restringir quais CCA podem emitir certificados para domínios/subterfúgios.

6. mTLS e criptografia por CDN: espelhos muitas vezes sentados por proxy - o tráfego para origin também é encriptado.

7. Renovação automática de certificados + alertas: 30/14/7/1 dia antes do vencimento.

8. «Nunca pedimos dados em HTTP» + link para a página de segurança.

9. Tratamentos Takedown para espelhos de phishing: recepcionista/hospedeiro, browsers, redes de publicidade.

10. Passkeys/TOTP + step-up em ações sensíveis - mesmo com a rede comprometida, não é possível levantar dinheiro.

Folha de cheque do jogador

A entrada é apenas https ://e do marcador.
«Fechadura» sem erros; certificado do mesmo domínio.
Não digite login/CUS/mapa se o navegador escrever Not secure ou discutir um certificado.
Incluir 2FA (Passkeys/TOTP) e notificações de entrada/mudança.
O Wi-Fi público só → via VPN, senão espere por uma rede segura.
Qualquer dúvida - Vá para o domínio principal e abra a seção Notificações/Segurança.

Folha de cheque da operadora

Todos os espelhos no TLS 1. 2/1. 3, HSTS (+ proload), CSP rigoroso, nada de mixed conteúdo.
Rediretor único de HTTP→HTTPS, cookie 'Secure; HttpOnly; SameSite`.
Monitoramento CT, CAA no DNS, extensão automática de certificados.
Criptografia TLS por CDN e mTLS em webhooks ou sites.
Passkeys/TOTP, step-up para substituir adereços/conclusão.
Página pública de segurança e em-app de advertência durante o período de ataques.
Procedimentos takedown rápido clones de phishing.

FAQ (breve)

Você só pode digitar login, sem senha, basta ver?

Não. Qualquer entrada em HTTP pode ser vazada e login + senha é a ligação clássica para o roubo.

E se o certificado auto-assinado por uma hora é ok?

Não. Confira apenas os certificados da Autoridade de Dados reconhecidos, sem erros no navegador.

Porque é que o meu antivírus não falou?

O antivírus nem sempre capta MITM/substituição de formulário. Sinal número 1: nenhum HTTPS ou navegador briga por certificado.

Um espelho sem SSL é um convite para roubar uma conta, dinheiro e documentos. A regra é simples: não há HTTPS válido → não digitamos nada. Para os jogadores, apenas domínios protegidos de marcadores e 2FA incluídos. Para os operadores, espelhos com os mesmos padrões rígidos do TLS do site principal: HSTS, CSP, RP, monitoramento CT e remoção rápida de clones de phishing. É mais barato e seguro do que qualquer «teste de voo» após o incidente.