Форма оголошує надсилання через HTTP, або чутливі поля є на сторінці HTTP

Чому це важливо

Команда Chromium описує форми на сторінках HTTPS, які не надсилаються через HTTPS, як ризик для безпеки та приватності користувачів: надіслану через них інформацію можуть бачити ті, хто перехоплює дані, і можуть її прочитати чи змінити. Chrome попереджає людей, які намагаються заповнити такі форми.

Що зробити

1. Перегляньте знахідку: у ній показано теги форм та їхній action або чутливі поля; ніщо з того, що хтось уводив, не записується.
2. Змініть action форми на адресу з https:// або на відносну адресу, що розв’язується через HTTPS з урахуванням базової адреси документа.
3. Віддавайте кожну сторінку з полем пароля чи оплати лише через HTTPS.

Що ми читаємо

Ми читаємо HTML кожної просканованої сторінки, не виконуючи JavaScript і нічого не надсилаючи. На сторінці HTTPS форма фіксується, коли її оголошений action є чинною абсолютною адресою з http:// або розв’язується до неї через захоплену базову адресу документа і вона має принаймні один увімкнений select чи textarea або увімкнений input, крім hidden, button, submit, reset чи image. Input лише для читання може враховуватися; форми з method=dialog виключено.

На сторінці, що віддається через HTTP, фіксується будь-яке поле пароля чи будь-яке поле, позначене значенням autocomplete платіжної картки, як-от cc-number, у формі чи поза нею. Сторінки, що не відповіли кодом 200 з повним HTML, перевірити неможливо. Для декларацій форм на HTTPS форма чи елемент керування всередині таблиці або форма, вкладена в іншу форму, можуть не дати дійти переконливого результату.

Приклад і докази

Ілюстративний приклад — одна форма, а не реальний аудит.

https://bakery.example/contact/ містить:

<form method="post" action="http://bakery.example/send">
  <input name="email" type="email">
  <button>Send</button>
</form>

Сторінка віддається через HTTPS, але форма оголошує адресу надсилання з http://, тому сторінка фіксується разом із формою.

<form method="post" action="https://bakery.example/send">

Можливе виправлення: надсилайте форму через HTTPS.

Підтвердити й перевірити знову

Перевірте самі: перегляньте вихідний код сторінки й знайдіть action="http:; на сторінці, що віддається через http://, знайдіть type="password". Також перевірте адресу <base> документа, якщо action форми відносний.

Повторна перевірка: Повний аудит — запустіть новий аудит сайту. Знахідка закривається, коли сторінку знову проскановано з повним HTML і жодна з її придатних форм не оголошує action, що розв’язується до http:// або, для сторінки, що віддається через HTTP, вона більше не має полів пароля чи картки. Якщо сторінку не проскановано знову або її форми більше не вдається прочитати, знахідка залишається відкритою.

Обмеження та джерела

Перевірка читає статичні декларації форм і розв’язує action відносно захопленої сторінки та базової адреси документа. Вона не надсилає форми й не бачить, куди JavaScript надсилає дані, або formaction окремої кнопки. Форми всередині <noscript> у тілі документа не видно під час розбору з увімкненими скриптами.

Упевненість: Висока, бо форма та її поля зчитуються безпосередньо з HTML.

Джерела

• Chromium Blog, Захист користувачів Google Chrome від незахищених форм — називає форми на сайтах HTTPS, які не надсилаються через HTTPS, ризиком для безпеки та приватності користувачів, бо ті, хто перехоплює дані, можуть прочитати чи змінити надіслане. Перевірено 28 вересня 2026.

Редакційна перевірка: 2 листопада 2026

Пов’язані правила

• Захищена сторінка посилається на активний контент за адресами http:// — сторінка посилається на скрипти чи стилі за адресами з http://.
• Посилання та списки досі вказують на адреси http:// — посилання та списки на сайті досі вказують на адреси з http://.