È male reindirizzare http su https?

Ho appena installato un certificato SSL sul mio server.

Quindi imposta un reindirizzamento per tutto il traffico sul mio dominio sulla porta 80 per reindirizzarlo sulla porta 443.

In altre parole, tutto il mio http://example.comtraffico viene ora reindirizzato alla https://example.comversione appropriata della pagina.

Il reindirizzamento viene eseguito nel mio file Apache Virtual Hosts con qualcosa del genere ...

RewriteEngine on
ReWriteCond %{SERVER_PORT} !^443$
RewriteRule ^/(.*) https://%{HTTP_HOST}/$1 [NC,R,L] 

La mia domanda è: ci sono degli svantaggi nell'utilizzo di SSL?

Dal momento che questo non è un reindirizzamento 301, perderò il collegamento / il posizionamento nei motori di ricerca passando a https?

Apprezzo l'aiuto. Ho sempre desiderato configurare SSL su un server, solo per la pratica di farlo, e alla fine ho deciso di farlo stasera. Finora sembra funzionare bene, ma non sono sicuro che sia una buona idea usarlo su ogni pagina. Il mio sito non è eCommerce e non gestisce dati sensibili; è principalmente per l'aspetto e il brivido di installarlo per l'apprendimento.

NUMERO AGGIORNATO

Stranamente Bing crea questo screenshot dal mio sito ora che utilizza HTTPS ovunque ...

La [R]bandiera da sola è un 302reindirizzamento ( Moved Temporarily). Se vuoi davvero che le persone utilizzino la versione HTTPS del tuo sito (suggerimento: sì), dovresti utilizzare [R=301]un reindirizzamento permanente:

RewriteEngine on
RewriteCond %{SERVER_PORT} !^443$
RewriteRule ^/(.*) https://%{HTTP_HOST}/$1 [NC,R=301,L] 

A 301mantiene intatti tutti i tuoi cercapersone google-fu e sudati . Assicurati che mod_rewritesia abilitato:

a2enmod rewrite

Per rispondere alla tua domanda esatta:

È male reindirizzare http su https?

Diavolo, no. È molto buono.

Pur supportando l'idea dei soli siti SSL, direi che uno svantaggio sono le spese generali a seconda del design del tuo sito. Voglio dire, ad esempio, se stai offrendo molte singole immagini nei tag img, questo potrebbe rallentare il tuo sito. Consiglio a chiunque utilizzi solo server SSL di assicurarsi che funzionino su quanto segue.

1. Controllare l'intero sito per i collegamenti interni e assicurarsi che tutti stiano utilizzando HTTPS se si specifica il proprio nome di dominio nei collegamenti, quindi non si stanno causando i propri reindirizzamenti.
2. Aggiorna <meta property="og:url"a utilizzando la versione https del tuo dominio.
3. Se si utilizza di <base href=nuovo l'aggiornamento per utilizzare HTTPS.
4. Installare il protocollo SPDY se possibile
5. Assicurati di utilizzare gli sprite CSS Image ove possibile, per ridurre il numero di richieste.
6. Aggiorna le tue sitemap per indicare lo stato https, in modo che gli spider nel tempo apprendano questo cambiamento.
7. Modifica le preferenze del motore di ricerca come Strumenti per i Webmaster di Google per preferire HTTPS
8. Ove possibile, scaricare tutti i supporti stattici sui server CDN HTTPS.

Se quanto sopra è affrontato, allora dubito che avrai molti problemi.

Ho impostato https, quindi dovresti usarlo ovunque sul sito. Eviterai il rischio di problemi con contenuti misti e se disponi degli strumenti richiesti, perché non rendere sicuro l'intero sito?

Per quanto riguarda il reindirizzamento da http a https, la risposta non è così semplice.

Il reindirizzamento renderà molto più facile per i tuoi utenti, digitano semplicemente whateversite.com e vengono reindirizzati a https.

Ma. Cosa succede se l'utente a volte si trova su una rete non protetta (o è vicino a Troy Hunt e al suo Pineapple )? Quindi l'utente richiederà http://whateversite.com per vecchia abitudine. Questo è http. Questo può essere compromesso. Il reindirizzamento potrebbe puntare a https://whateversite.com.some.infrastructure.long.strange.url.hacker.org . A un utente normale sembrerebbe abbastanza legittimo. Ma il traffico può essere intercettato.

Quindi abbiamo due requisiti in competizione qui: essere facili da usare ed essere sicuri. Fortunatamente, esiste un rimedio chiamato intestazione HSTS . Con esso è possibile abilitare il reindirizzamento. Il browser passerà al sito sicuro, ma grazie all'intestazione HSTS ricordalo anche. Quando l'utente digita whateversite.com seduto su quella rete non sicura, il browser passerà immediatamente a https, senza saltare il reindirizzamento su http. A meno che tu non abbia a che fare con dati molto sensibili, penso che sia un giusto compromesso tra sicurezza e usabilità per la maggior parte dei siti. (Quando di recente ho creato un'applicazione per la gestione delle cartelle cliniche sono andato su tutte le https senza reindirizzamento). Purtroppo Internet Explorer non ha supporto per HSTS ( fonte), quindi se il tuo pubblico di destinazione utilizza principalmente IE e i dati sono sensibili, potresti voler disabilitare i reindirizzamenti.

Quindi, se non stai prendendo di mira gli utenti IE, vai avanti e usa il reindirizzamento, ma abilita anche l'intestazione HSTS.

Non c'è nulla di sbagliato in questo, e in effetti è la migliore pratica (per i siti che dovrebbero essere serviti su una connessione sicura). In effetti, quello che stai facendo è abbastanza simile alla configurazione che sto usando:

<VirtualHost 10.2.3.40:80>
  ServerAdmin me@example.com
  ServerName secure.example.com
  RedirectMatch 301 (.*) https://secure.example.com$1
</VirtualHost>

# Insert 10.2.3.40:443 virtual host here :)

Il 301codice di stato indica un reindirizzamento permanente , che indica ai client in grado di utilizzare l'URL sicuro per connessioni future (ad es. Aggiornare il segnalibro).

Se servirai il sito solo su TLS / SSL, ti consiglierei un'ulteriore direttiva per abilitare HTTP Strict Transport Security (HSTS) nel tuo host virtuale sicuro :

<IfModule mod_headers.c>
  Header set Strict-Transport-Security "max-age=1234; includeSubdomains"
</IfModule>

Questa intestazione indica ai client capaci (la maggior parte di questi in questi giorni, credo) che dovrebbero usare HTTPS con il dominio fornito ( secure.example.com, in questo caso) per i 1234secondi successivi . La ; includeSubdomainsparte è facoltativa e indica che la direttiva si applica non solo al dominio corrente, ma anche a qualsiasi altro ambito (ad es alpha.secure.example.com.). Si noti che l'intestazione HSTS è solo accettata dai browser quando servito su una connessione SSL / TLS!

Per testare la configurazione del server in base alle best practice correnti, una buona risorsa gratuita è il servizio Test server SSL di Qualys ; Mirerei a segnare almeno un A- (non puoi ottenerne di più con Apache 2.2 a causa della mancanza di supporto per la crittografia a curva ellittica).

Wow ! il reindirizzamento da HTTP a HTTPS è un'ottima cosa e non posso vedere alcun inconveniente per questo.

Assicurati solo che i tuoi clienti dispongano della CA giusta per evitare avvisi non intuitivi sul certificato nel browser.

Inoltre, il modo in cui hai configurato Apache per reindirizzare a HTTPS sembra ok.

È male reindirizzare http su https?

No, per niente. In realtà, è una buona cosa da fare!

Su reindirizzamenti:

Potrebbe essere più efficiente, eliminando completamente le riscritture . Ecco la mia configurazione su una situazione simile ...

<VirtualHost *:80>
  ServerName domainname.com

  <IfModule mod_alias.c>
    Redirect permanent / https://domainname.com/
  </IfModule>
</VirtualHost>

HTTPS non è esattamente infallibile. Naturalmente, forzare normalmente HTTPS è una buona cosa. Impedisce ai criminali normali di fare qualcosa di male ai tuoi utenti.

Ma ricorda di controllare le tue impostazioni SSL come l'impostazione SSLCiphers. Disabilita cose come RC4 crypto, il protocollo SSLv2 e SSLv3. Inoltre, dovresti scoprire se i libarys di sistema crittografico del tuo sistema supportano TLS1.2 (che è la cosa che vuoi avere;))

Attiva SSL, è una buona cosa.

Personalmente sono tutto per l'uso di SSL per proteggere le connessioni sul Web, tuttavia ritengo che tutte le altre risposte qui perse sia che non tutti i dispositivi e tutti i software in grado di stabilire una connessione HTTP saranno in grado di utilizzare SSL, quindi prenderei in considerazione la possibilità di offrire agli utenti un modo per evitarlo se non è supportato per loro. È anche possibile che le persone in alcuni Paesi in cui la tecnologia di crittografia sia illegale non possano accedere al tuo sito. Vorrei prendere in considerazione l'aggiunta di una pagina di destinazione non crittografata con un collegamento per forzare la versione non sicura del sito, ma a meno che un utente non scelga specificamente tale da fare come hai detto e li inoltri alla versione HTTPS.

Ecco alcuni dei grandi problemi di pennellata:

• MITM / SSLSTRIP : questo è un avvertimento enorme. Se hai intenzione di pubblicare il tuo sito su HTTPS, disabilita HTTP sul sito . Altrimenti, lasci i tuoi utenti aperti a vari attacchi man-in-the-middle, incluso SSLSTRIP, che intercettano le richieste e le servono silenziosamente su HTTP, inserendo il loro script malware nel flusso. Se l'utente non se ne accorge, allora penserà che la sua sessione è sicura quando in realtà non lo è.

  • Il problema con questo, tuttavia, è che se il tuo sito è un sito pubblico e disabiliti senza troppe cerimonie HTTP, potresti perdere molti visitatori. Probabilmente non sarà nemmeno verificarsi a loro per cercare HTTPS se il sito non verrà caricato con HTTP.

• Se il tuo sito richiede un accesso sicuro, l'intera sessione utente deve essere protetta. Non eseguire l'autenticazione su HTTPS, quindi reindirizzare l'utente su HTTP. Se lo fai, ancora una volta, stai lasciando i tuoi utenti vulnerabili agli attacchi MITM. Al giorno d'oggi l'approccio standard all'autenticazione consiste nell'autenticare una volta, quindi passare un token di autenticazione avanti e indietro (in un cookie). Ma se esegui l'autenticazione su HTTPS e reindirizzi a HTTP, un man-in-the-middle può intercettare quel cookie e utilizzare il sito come se fosse un utente autenticato, ignorando la tua sicurezza.

• I problemi di "prestazioni" con HTTPS sono per tutti gli scopi pratici limitati alla stretta di mano coinvolta nella creazione di una nuova connessione. Fai il possibile per ridurre al minimo la necessità di più connessioni HTTPS da un URL e sarai a miglia di distanza. E questo è francamente vero anche se stai offrendo i tuoi contenuti su HTTP. Se leggi su SPDY, ti renderai conto che tutto ciò che fa è orientato verso il tentativo di servire tutto il contenuto da un singolo URL su una singola connessione. Sì, l'utilizzo di HTTPS influisce sulla memorizzazione nella cache. Ma quanti siti web sono solo contenuti statici e memorizzabili nella cache in questi giorni, comunque? È probabile che tu guadagni di più per il tuo buck utilizzando la cache sul tuo server web per ridurre al minimo le query ridondanti sul database che recuperano continuamente dati invariati e impediscono l'esecuzione di costosi percorsi di codice più spesso del necessario.

Questa non è tecnicamente una risposta alla tua domanda originale, ma se usi l'estensione HTTPS di Google Chrome ovunque (sono sicuro che ci sono estensioni simili su altri browser), l'estensione reindirizza automaticamente i siti con HTTP allo stesso sito con HTTPS. Lo uso da un po 'e non ho avuto problemi (tranne forse il rallentamento, ma non l'ho provato). HTTPS Ovunque può essere modificato da determinate regole sul lato server, ma poiché non ho fatto molto in quella zona, non sono sicuro dei dettagli esatti.

Tornando alla tua vera domanda, se usi qualcosa come HTTPSEwherewhere, c'è ancora meno incentivo a usare solo HTTP, anche se immagino sia difficile impostare regole corrette per quando ne hai bisogno.

the only technical draw back to HTTPS over HTTP is that it is computationally more expensive to process HTTPS requests than plain HTTP

However given that most modern servers have high powered CPU's this impact is usually negligible unless you are at extremely high levels of traffic at which point you are more than likely using load balancers anyway

With the advent of protocols like SPDY which require SSL/TLS to work, this actually counteracts the aforementioned computational overhead by giving significant performance improvements with regards to multiple requests and getting assets to the client faster overall.

It is very good to redirect to https, but I read it also depends on how you organize the redirecting.

Making a dedicated virtual server for redirecting the incoming http requests to your https connection as suggested in the answer on security.stackexchange.com sounds very smart and will close some additional security threats. A configuration in Apache would look something like this:

# Virtual host for rerouting
<VirtualHost *:80>
    ServerName www.example.com
    Redirect permanent / https://www.example.com/
</VirtualHost>

# Virtual host for secure hosting on https
<VirtualHost *:443>
    ServerName www.example.com
    SSLEngine on
    Header set Strict-Transport-Security "max-age=8640000;includeSubdomains"

    ...site settings...

</VirtualHost>