Por qué los navegadores pueden ocultar la página de bloqueo HTTPS de Squid
Comprenda por qué un navegador puede mostrar su propio error de túnel en lugar del HTML personalizado devuelto para una solicitud CONNECT denegada.
La página de bloqueo personalizada del proxy aparece para un sitio HTTP. Para un sitio HTTPS, el navegador muestra en cambio un error de túnel. Volver a sustituir la plantilla HTML puede no cambiar nada.
Con un proxy HTTP explícito, una visita HTTPS suele comenzar con CONNECT. El navegador pide al proxy que abra un túnel hacia un host y un puerto. Si Squid rechaza esa solicitud, la sesión TLS del sitio nunca comienza.
El rechazo puede tener un estado HTTP y contenido de respuesta. Puede inspeccionar esa respuesta CONNECT fallida con curl independientemente de la página de error del navegador. Eso no exige que el navegador presente el HTML proporcionado como la página web del destino. Un navegador puede descartar el cuerpo del error CONNECT y usar su propia interfaz de error de proxy; la presentación exacta depende del cliente.
Si el rechazo de Squid ya contiene el cuerpo deny_info previsto, editar su texto, hoja de estilo o permisos de archivo no cambia qué etapa de la respuesta maneja el navegador. Mantenga disponibles el estado del rechazo y el registro de acceso para establecer si CONNECT fue denegado y por qué. Una página genérica del navegador puede ocultar detalles de la política mientras el proxy aplica correctamente la regla.
Servir una página de bloqueo dentro de una conexión HTTPS interceptada es otra arquitectura, que implica terminación TLS, confianza del cliente y gestión de certificados. No se habilita editando deny_info, y una plantilla personalizada no otorga autoridad para suplantar el sitio bloqueado. Elija ese diseño solo si es necesario; de lo contrario, use los informes de error disponibles del cliente y los registros operativos del proxy.