Почему нельзя вводить данные на зеркалах без SSL

«Зеркало» — это копия сайта на другом домене/поддомене. В гемблинге зеркала часто используют при блокировках. Если зеркало открывается без HTTPS (SSL/TLS), вводить там данные нельзя: соединение читается и изменяется по дороге. Речь не только о «хакерах в кафе», но и о промежуточных узлах — от заражённого роутера до провайдера, прокси и вредного расширения.

Что конкретно может пойти не так без SSL

1. Кража логина и пароля

HTTP передаёт всё «в открытую». Достаточно sniffer’а в публичном Wi-Fi или на маршрутизаторе — и учётка у злоумышленника.

2. Угон сессии (session hijacking)

Сессионные куки без `Secure` утекают и позволяют войти под вами без пароля.

3. Подмена страницы/реквизитов

Любой «посредник» может незаметно вставить ложную форму KYC, изменить номер карты/кошелька для вывода, заменить адрес поддержки.

4. Подмена платежей и «невидимые» формы

Инъекция скриптов меняет платёжные реквизиты или добавляет скрытые авто-сабмиты — деньги улетают «в никуда».

5. SSL-stripping

Даже если «официальный» домен на HTTPS, злоумышленник в сети может насильно опустить вас на HTTP на зеркале без HSTS.

6. Фишинг под видом зеркала

Клон без сертификата (или с самоподписанным/левым) маскируется под рабочее зеркало и собирает логины, 2FA и данные карт.

Почему это ещё и незаконно/дорого для оператора

PCI DSS: ввод карточных данных на HTTP — прямое нарушение. Грозят штрафы и отзыв эквайринга.

GDPR/аналогичные законы: PII/KYC по HTTP = нарушение безопасности обработки. Риски штрафов и предписаний.

Лицензионные условия: большинство регуляторов требуют HTTPS повсюду и защиту персональных/платёжных данных.

Репутация и ADR: спор с игроком при утечке на незащищённом зеркале почти гарантированно будет проигран.

Типовые атаки на зеркалах без SSL — на пальцах

Evil Twin Wi-Fi: фальшивая точка с тем же именем. Всё HTTP трафик читается/меняется.

DNS-спуфинг: подмена ответа DNS ведёт не туда, куда вы думали. На HTTP заметить сложно.

Провайдерская/прокси-инъекция: вставка рекламного/вредного JS «по дороге».

Расширение-паразит в браузере: меняет формы и номера кошельков лишь на HTTP-страницах.

Каптив-порталы (гостиницы/аэропорты): до авторизации HTTPS блокируют/подменяют, а HTTP открыт — идеальная ловушка.

«Но там же замок…» — разбираем мифы

Замок браузера есть только на HTTPS. Без HTTPS никакого «замка» нет — и это красный флаг.

Самоподписанный/невалидный сертификат — не «нормально». Это почти всегда либо ошибка, либо попытка MITM.

«Там нет платежей, просто логин» — логин ценнее денег: через него украдут и деньги, и документы.

Как игроку отличить безопасный домен за 30–60 секунд

1. Адрес строго с `https://` и «замком» без ошибок.

2. Домен буква-в-букву: никаких `rn` вместо `m`, кириллицы вместо латиницы.

3. Клик по «замку» → сертификат выдан доверенным ЦС, в SAN — именно этот домен.

4. На страницах входа/кошелька нет предупреждений «Not secure» или «Mixed content».

5. Сомневаетесь — зайдите из закладки на основной домен и переходите на зеркала только из внутренних ссылок кабинета.

Быстрые команды проверки (если умеете в консоль)

bash
Показать цепочку и SAN openssl s_client -connect mirror.example:443 -servername mirror.example -showcerts </dev/null 2>/dev/null      openssl x509 -noout -subject -issuer -dates -ext subjectAltName

Проверить заголовки безопасности curl -sI https://mirror.example      grep -Ei 'strict-transport-security    content-security-policy    x-content-type-options    x-frame-options    frame-ancestors    referrer-policy    set-cookie'

Убедиться, что HTTP редиректит на HTTPS curl -I http://mirror.example

Если HTTPS не работает/ругается — ничего не вводим.

Что обязан делать оператор (зеркала тоже «по-взрослому»)

1. HTTPS везде: TLS 1.2/1.3, корректная цепочка, HSTS preload (после ликвидации mixed content).

2. Запрет HTTP-контента: строгая CSP, только HTTPS-ресурсы.

3. Редирект HTTP→HTTPS на всех зеркалах, одинаковая политика куки: `Secure; HttpOnly; SameSite`.

4. CT-мониторинг бренда: новая выдача сертификата на «похожий» домен — алерт и проверка.

5. CAA-записи в DNS: ограничить, какие ЦС могут выдавать сертификаты на домен/поддомены.

6. mTLS и шифрование «за CDN»: зеркала часто сидят за прокси — трафик до origin тоже шифруется.

7. Автопродление сертификатов + алерты: 30/14/7/1 день до истечения.

8. Баннер-предупреждение в период атак: «Мы никогда не просим данные на HTTP» + ссылка на страницу безопасности.

9. Takedown-процедуры для фишинговых зеркал: регистратор/хостер, браузерные блок-листы, рекламные сети.

10. Passkeys/TOTP + step-up на чувствительных действиях — даже при компрометации сети вывести деньги не получится.

Чек-лист игрока

Вход только по https:// и из закладки.
«Замок» без ошибок; сертификат на тот же домен.
Не вводить логин/KYC/карту, если браузер пишет Not secure или ругается на сертификат.
Включить 2FA (Passkeys/TOTP) и уведомления о входах/изменениях.
Публичный Wi-Fi → только через VPN, иначе дождитесь безопасной сети.
Любые сомнения — идите на основной домен и откройте раздел «Уведомления»/«Безопасность».

Чек-лист оператора

Все зеркала на TLS 1.2/1.3, HSTS (+preload), строгая CSP, никакого mixed content.
Единый редирект HTTP→HTTPS, куки `Secure; HttpOnly; SameSite`.
CT-мониторинг, CAA в DNS, автопродление сертификатов.
TLS-шифрование за CDN и mTLS на внутренних/вебхуках.
Passkeys/TOTP, step-up на смену реквизитов/вывод.
Публичная страница «Безопасность» и in-app предупреждения в период атак.
Процедуры быстрого takedown фишинговых клонов.

FAQ (коротко)

Можно ввести только логин, без пароля — просто посмотреть?

Нет. Любой ввод на HTTP может утечь, а логин + следом пароль — классическая связка для кражи.

А если сертификат «самоподписанный» на час — это ок?

Нет. Доверяйте только сертификатам от общепризнанных ЦС без ошибок в браузере.

Почему мой антивирус молчал?

Антивирус не всегда ловит MITM/подмену формы. Признак №1 — нет HTTPS или браузер ругается на сертификат.

Зеркало без SSL — это приглашение к краже аккаунта, денег и документов. Правило простое: нет валидного HTTPS → ничего не вводим. Для игроков — только защищённые домены из закладок и включённая 2FA. Для операторов — зеркала с теми же жёсткими стандартами TLS, что и основной сайт: HSTS, CSP, редиректы, CT-мониторинг и быстрое снятие фишинговых клонов. Это дешевле и безопаснее любых «разборов полётов» после инцидента.