Boa tarde. Tenho uma aplicação rodando na internet e gostaria que algumas páginas fossem rodadas por https e não http. Estou testando assim: entro na aplicação numa página http. Esta página http chama uma página https. Quando entro nesta página https verifiquei que as variáveis de sessão são perdidas. É assim mesmo que funciona ou estou fazendo algo errado? Posso fazer assim, chamar apenas algumas páginas via https ou tenho que rodar toda a aplicação em https? Obrigada
Podem ser três problemas aí.
1. Domínio ou subdomínio diferentes entre HTTP e HTTPS
O mais provável é que as páginas estejam em domínios ou subdomínios separados. Daí não é questão do HTTP/HTTPS em si, mas sim que o navegador considera que são dois servidores distintos, e por isso não encaminha o cookie do domínio 1 (que por acaso é HTTP) para o domínio 2 (que por acaso é HTTPS).
2. Cookies estão indo, mas aplicações não compartilham dados de sessão
Depois de verificar se o cookie de sessão está chegando nos dois servidores, é preciso verificar se os dois servidores estão gravando/carregando os dados de sessão do mesmo lugar (uma mesma pasta compartilhada, o mesmo banco de dados, um mesmo memcached).
Ou seja, se o cookie estiver certo mas a linguagem não consegue acessar os dados, então vai abrir uma sessão vazia mesmo.
3. Cookies secure
e não secure
misturados
Quando for conferir se o cookie de sessão está chegando nos dois servidores, repare se ele são rigorosamente os mesmos, ou se por acaso um deles contem a tag secure
.
Cookies secure
por padrão não são enviados em conexões HTTP, de forma que você pode estar recebendo um cookie diferente na conexão HTTPS que não vai na conexão HTTP.
-
Olá. Obrigada pela resposta. Comentando: as páginas estão na mesma pasta. A exemplo1 (http) chama a exemplo2 (https), que estão no mesmo local. Não estou usando cookies. Estou usando variáveis de sessão tipo Session("nome") - as páginas estão construídas em asp clássico. Se você tiver mais alguma dica agradeço. – Regina Lúcia Torres Chaves 22/03/16 às 0:55
-
Não entendo nada do uso de ssl mas eu desconfio que descobri o que está acontecendo... Estou testando com um ssl compartilhado, que muda o endereço de minha página e não apenas troca o http por https. Deve ser por isso que perde as variáveis de sessão... – Regina Lúcia Torres Chaves 22/03/16 às 18:58
-
Sim, que é o ponto número 1, domínios diferentes. O navegador nada sabe se os arquivos estão no mesmo diretório. Para o navegador (e os cookies) só importam se é o mesmo domínio, o que aparece na URL do navegador. Veja aí se não consegue por o site todo em HTTPS. – André LFS Bacci 23/03/16 às 3:58
-
Muito obrigada! Estou vendo para adquirir um certificado próprio. Abraços – Regina Lúcia Torres Chaves 23/03/16 às 15:29
-
Accept na resposta? A solução local depende da configuração do servidor web específico, mas a resposta responde a razão geral, e pelo menos encaminha como solucionar. – André LFS Bacci 26/03/16 às 23:06