Чому не можна вводити дані на дзеркалах без SSL

«Дзеркало» - це копія сайту на іншому домені/піддомені. У гемблінгу дзеркала часто використовують при блокуваннях. Якщо дзеркало відкривається без HTTPS (SSL/TLS), вводити там дані не можна: з'єднання читається і змінюється по дорозі. Мова не тільки про «хакерів в кафе», але і про проміжні вузли - від зараженого роутера до провайдера, проксі і шкідливого розширення.

Що конкретно може піти не так без SSL

1. Крадіжка логіна і пароля

HTTP передає все «у відкриту». Досить sniffer'a в публічному Wi-Fi або на маршрутизаторі - і облік у зловмисника.

2. Викрадення сесії (session hijacking)

Сесійні куки без'Secure'витікають і дозволяють увійти під вами без пароля.

3. Підміна сторінки/реквізитів

Будь-який «посередник» може непомітно вставити помилкову форму KYC, змінити номер картки/гаманця для виведення, замінити адресу підтримки.

4. Підміна платежів і «невидимі» форми

Ін'єкція скриптів змінює платіжні реквізити або додає приховані авто-сабміти - гроші відлітають «в нікуди».

5. SSL-stripping

Навіть якщо «офіційний» домен на HTTPS, зловмисник в мережі може насильно опустити вас на HTTP на дзеркалі без HSTS.

6. Фішинг під виглядом дзеркала

Клон без сертифіката (або з самопідписаним/лівим) маскується під робоче дзеркало і збирає логіни, 2FA і дані карт.

Чому це ще й незаконно/дорого для оператора

PCI DSS: введення карткових даних на HTTP - пряме порушення. Загрожують штрафи і відкликання еквайрингу.

GDPR/аналогічні закони: PII/KYC за HTTP = порушення безпеки обробки. Ризики штрафів і приписів.

Ліцензійні умови: більшість регуляторів вимагають HTTPS всюди і захист персональних/платіжних даних.

Репутація та ADR: суперечка з гравцем при витоку на незахищеному дзеркалі майже гарантовано буде програна.

Типові атаки на дзеркалах без SSL - на пальцях

Evil Twin Wi-Fi: фальшива точка з тим же ім'ям. Все HTTP трафік читається/змінюється.

DNS-спуфінг: підміна відповіді DNS веде не туди, куди ви думали. На HTTP помітити складно.

Провайдерська/проксі-ін'єкція: вставка рекламного/шкідливого JS «по дорозі».

Розширення-паразит в браузері: змінює форми і номери гаманців лише на HTTP-сторінках.

Каптив-портали (готелі/аеропорти): до авторизації HTTPS блокують/підміняють, а HTTP відкритий - ідеальна пастка.

«Але там же замок...» - розбираємо міфи

Замок браузера є тільки на HTTPS. Без HTTPS ніякого «замку» немає - і це червоний прапор.

Самопідписаний/невалідний сертифікат - не «нормально». Це майже завжди або помилка, або спроба MITM.

«Там немає платежів, просто логін» - логін цінніший за гроші: через нього вкрадуть і гроші, і документи.

Як гравцеві відрізнити безпечний домен за 30-60 секунд

1. Адреса строго з'https://' і «замком» без помилок.

2. Домен буква-в-букву: ніяких «rn» замість «m», кирилиці замість латиниці.

3. Клік по «замку» → сертифікат виданий довіреним ЦС, в SAN - саме цей домен.

4. На сторінках входу/гаманця немає попереджень «Not secure» або «Mixed content».

5. Сумніваєтеся - зайдіть із закладки на основний домен і переходьте на дзеркала тільки з внутрішніх посилань кабінету.

Швидкі команди перевірки (якщо вмієте в консоль)

bash
Показати ланцюжок і SAN openssl s_client -connect mirror. example:443 -servername mirror. example -showcerts </dev/null 2>/dev/null      openssl x509 -noout -subject -issuer -dates -ext subjectAltName

Перевірити заголовки безпеки curl -sI https://mirror. example      grep -Ei 'strict-transport-security    content-security-policy    x-content-type-options    x-frame-options    frame-ancestors    referrer-policy    set-cookie'

Переконатися, що HTTP редиректит на HTTPS curl -I http://mirror. example

Якщо HTTPS не працює/лається - нічого не вводимо.

Що зобов'язаний робити оператор (дзеркала теж «по-дорослому»)

1. HTTPS скрізь: TLS 1. 2/1. 3, коректний ланцюжок, HSTS preload (після ліквідації mixed content).

2. Заборона HTTP-контенту: сувора CSP, тільки HTTPS-ресурси.

3. Редирект HTTP→HTTPS на всіх дзеркалах, однакова політика кукі: `Secure; HttpOnly; SameSite`.

4. CT-моніторинг бренду: нова видача сертифіката на «схожий» домен - алерт і перевірка.

5. CAA-записи в DNS: обмежити, які ЦС можуть видавати сертифікати на домен/піддомени.

6. mTLS і шифрування «за CDN»: дзеркала часто сидять за проксі - трафік до origin теж шифрується.

7. Автопродовження сертифікатів + алерти: 30/14/7/1 день до закінчення.

8. Банер-попередження в період атак: «Ми ніколи не просимо дані на HTTP» + посилання на сторінку безпеки.

9. Takedown-процедури для фішингових дзеркал: реєстратор/хостер, браузерні блок-листи, рекламні мережі.

10. Passkeys/TOTP + step-up на чутливих діях - навіть при компрометації мережі вивести гроші не вийде.

Чек-лист гравця

Вхід тільки за https://і з закладки.
«Замок» без помилок; сертифікат на той же домен.
Не вводити логін/КУС/карту, якщо браузер пише Not secure або лається на сертифікат.
Включити 2FA (Passkeys/TOTP) і повідомлення про входи/зміни.
Публічний Wi-Fi → тільки через VPN, інакше дочекайтеся безпечної мережі.
Будь-які сумніви - йдіть на основний домен і відкрийте розділ «Повідомлення «/» Безпека ».

Чек-лист оператора

Всі дзеркала на TLS 1. 2/1. 3, HSTS (+ preload), сувора CSP, ніякого mixed content.
Єдиний редирект HTTP→HTTPS, кукі'Secure; HttpOnly; SameSite`.
CT-моніторинг, CAA в DNS, автопродовження сертифікатів.
TLS-шифрування за CDN і mTLS на внутрішніх/вебхуках.
Passkeys/TOTP, step-up на зміну реквізитів/вивід.
Публічна сторінка «Безпека» і in-app попередження в період атак.
Процедури швидкого takedown фішингових клонів.

FAQ (коротко)

Можна ввести тільки логін, без пароля - просто подивитися?

Ні, ні. Будь-яке введення на HTTP може витекти, а логін + слідом пароль - класична зв'язка для крадіжки.

А якщо сертифікат «самопідписаний» на годину - це ок?

Ні, ні. Довіряйте тільки сертифікатам від загальновизнаних ЦС без помилок в браузері.

Чому мій антивірус мовчав?

Антивірус не завжди ловить MITM/підміну форми. Ознака № 1 - немає HTTPS або браузер лається на сертифікат.

Дзеркало без SSL - це запрошення до крадіжки акаунта, грошей і документів. Правило просте: немає валідного HTTPS → нічого не вводимо. Для гравців - тільки захищені домени з закладок і включена 2FA. Для операторів - дзеркала з тими ж жорсткими стандартами TLS, що і основний сайт: HSTS, CSP, редиректи, CT-моніторинг і швидке зняття фішингових клонів. Це дешевше і безпечніше будь-яких «розборів польотів» після інциденту.