Come usare chrome://flags/allow-insecure-localhost per il tuo sviluppo web

La recente rimozione dell'opzione Allow invalid certificates for resources loaded from localhost in Google Chrome ha avuto un impatto significativo sullo sviluppo web locale. Questa funzionalità, presente nelle versioni precedenti del browser, consentiva di ignorare i certificati SSL non validi o auto-firmati quando si utilizzava il protocollo HTTPS su localhost.

Implicazioni della rimozione dell'opzione

A partire dalla versione 119 di Chrome, l'opzione per bypassare i controlli dei certificati è stata completamente eliminata. Questo cambiamento è stato implementato per migliorare la sicurezza e la privacy, impedendo al browser di accettare automaticamente certificati locali non sicuri. Di conseguenza, qualsiasi tentativo di accedere a un URL HTTPS su localhost senza un certificato valido comporta ora un errore di certificato.

• Cambiamento principale: Rimozione della possibilità di caricare siti HTTPS non sicuri su localhost.
• Conseguenze immediate: Visualizzazione della schermata di avviso SSL anziché accesso automatico ai siti.
• Sistema operativo interessato: Windows, Mac, Linux, Chrome OS e Android.

Tecniche per testare HTTPS su localhost

Anche dopo la rimozione dell'opzione, esistono metodi alternativi per continuare a testare le applicazioni HTTPS in locale. È essenziale fornire un certificato affidabile o utilizzare una soluzione alternativa.

Soluzioni specifiche per piattaforma

• Windows:
  • Aggiungere un certificato fidato: Importazione del certificato auto-firmato nelle Autorità di Certificazione Radice fidate di Windows.
  • Sfida temporanea: Abilitazione del flag temporaneo in chrome://flags/#temporary-unexpire-flags-m118 e successiva attivazione del flag originale (se disponibile).
  • Istruzioni da linea di comando: Avvio di Chrome con –ignore-certificate-errors per saltare tutti i controlli SSL.
• macOS:
  • Aggiungere fiducia tramite Keychain: Aggiunta del certificato in Accesso Portachiavi e impostazione su "Sempre Fiducia".
  • Sfide da terminale: Avvio di Chrome dal Terminale con il flag –ignore-certificate-errors.
• Chrome OS (Chromebook):
  • Aggiunta di una CA locale se si utilizza la modalità sviluppatore o Crostini.
• Android: strong> li >
  • Pochi metodi sono disponibili; Si può abilitare il nuovo flag chrome://flags/#enable-command-line-on-non-rooted-devices che consente l'uso degli argomenti da linea di comando. li >
    ul >

    Soluzioni alternative e workaround strong > h2 >

    Con l'eliminazione dell'opzione allow-insecure-localhost, gli sviluppatori hanno trovato diverse soluzioni alternative: p >

    • Riattivazione tramite flag “temporaneo”: strong > Abilitando chrome://flags/#temporary-unexpire-flags-m118 è possibile ripristinare alcune opzioni precedenti. li >
    • Unsafely-treat-insecure-origin: strong > Abilitazione del flag chrome://flags/#unsafely-treat-insecure-origin-as-secure aggiungendo l'origine locale. li >
    • Versioni precedenti o Canary: strong > Utilizzo delle versioni più vecchie che potrebbero ancora avere l'opzione disponibile. li >
    • Hack thisisunsafe: strong > Digitando "thisisunsafe" nella pagina d'errore si può aggirare il messaggio d'avviso e caricare la pagina. li >
    • Disabilitazione totale dei controlli SSL: strong > Avvio di Chrome con –ignore-certificate-errors. li >
    • Uso raccomandato di una CA locale: strong > Generazione e fiducia nei certificati locali tramite strumenti come mkcert.   li >
      ul >

      Considerazioni finali strong > h2 >

      La rimozione dell’opzione allow-insecure-localhost in Chrome 119 rappresenta un passo verso una maggiore sicurezza anche nello sviluppo locale. Gli sviluppatori devono ora garantire che i loro certificati siano considerati affidabili a livello sistemico o adottare workaround adeguati. L’adozione dei certificati generati correttamente rimane la soluzione ottimale nel lungo termine per mantenere lo sviluppo sicuro e conforme alle normative future. Le tecniche sopra menzionate offrono modi praticabili per continuare i test HTTPS su localhost attraverso vari sistemi operativi senza fare affidamento sull’opzione precedente.   p >
      div >