b 站的裸域 https 证书不安全。

2017-06-10 17:45:49 +08:00
 lechain

刚刚用 chrome://net-internals/#hsts 对 b 站（ bilibili.com ）开启了强制 https。

出现了一个问题，访问 www.bilibili.com，小绿锁，没问题，但是在地址栏输入 bilibili.com 就会显示证书错误，并且不会自动跳转到 www.bilibili.com。

但是 curl bilibili.com 返回的结果是 301 跳转。

<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html>
<head><title>301 Moved Permanently</title></head>
<body bgcolor="white">
<h1>301 Moved Permanently</h1>
<p>The requested resource has been assigned a new permanent URI.</p>
<hr/>Powered by Tengine</body>
</html>

用 F12 看了下 bilibili.com 裸域的证书，竟然是 *.acg.tv 的证书。

这可怎么搞？难道我每次访问 b 站的时候都要多手动输入 www ？

4993 次点击
所在节点    全球工单系统
8 条回复
shoaly
2017-06-10 17:48:35 +08:00
搜索 如何删除 chrome 地址栏的一条记录
然后把 bilibili.com 这一条, 自然后会剩下 www.bilibiil.com 了
salmon5
2017-06-10 17:53:07 +08:00
运维配置失误不职业。
www 已经包含了 non www 的证书信息。
non www 应该直接用 www 的证书就可以了。
lechain
2017-06-10 18:01:50 +08:00
@shoaly woc，才知道可以这么做…

不过删除第一条记录我还是会的
lechain
2017-06-10 18:07:23 +08:00
@salmon5 也不知道 b 站运维啥时候能修复，话说在这里发 gts 能有点作用的吧？
DaCong
2017-06-10 19:48:02 +08:00
我现在才知道　 acg.tv 　会转跳到 B 站
lookas2001
2017-06-11 20:25:50 +08:00
bili.com
不要加到 hsts
直接访问就好。
唯一的问题就是。
浏览器总会自动补全 bilibili.com
另外，不推荐全站 https
我这里测试结果 bilibili link （ b 站直播用户中心）以及 bilibili h （图站）无法正常加载资源
话说 bilibili.com 这个问题我给 b 站发过邮件，没回，估计没看
lechain
2017-06-11 20:27:54 +08:00
@lookas2001 #6 为什么不要加到 hsts，全站 https 难道不是趋势吗？ 我现在是用的 hsts，然后用#1 的办法，暂时没什么问题
lookas2001
2017-06-11 20:47:33 +08:00
@lechain 我的意思是 bilibili .com 你愿意加入无所谓
但是 bili .com 别。。
我的方案是通过 http 协议下的 bili .com 跳转到 https(hsts 自动转换的）下的 www.bilibili .com
bili .com 也是 b 站的一个域名之一。。。

创建新回复过程中遇到一些问题：
请不要在每一个回复中都包括外链，这看起来像是在 spamming
这条提示好烦人。。

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/367480

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX