Una settimana fa Google mi ha inviato un'email per accedere a HTTPS. Se non trasferirò HTTP su HTTPS, questo mostrerà la mia connessione non protetta a tutti i visitatori del mio sito che proveranno a inserire del testo nel mio sito.

Senza usare SSL, c'è un altro modo per rendere sicura la mia connessione? Poiché è correlato al costoso processo di utilizzo di SSL nell'URL Web, sto cercando qualsiasi altra opzione.

c'è un altro modo per rendere sicura la mia connessione?

Google non si sta solo lamentando della "sicurezza" (che potrebbe includere una serie di argomenti diversi), si rivolge specificamente alla crittografia / HTTPS. Con HTTP semplice la connessione tra client e server non è crittografata, consentendo a chiunque di vedere e intercettare potenzialmente tutto ciò che viene inviato. Normalmente richiederebbe solo questo se si consente agli utenti di accedere (ad es. Invio di nome utente / password) o l'invio di informazioni di pagamento tramite una connessione non crittografata. L'invio di moduli "di testo" generali non sarebbe necessariamente un problema. Tuttavia, come sottolineato da @Kevin nei commenti, Google / Chrome prevedono di estenderlo in futuro :

Alla fine, abbiamo in programma di etichettare tutte le pagine HTTP come non sicure e cambiare l'indicatore di sicurezza HTTP con il triangolo rosso che usiamo per HTTPS non funzionante.

L'installazione di un certificato SSL sul tuo sito (o l'utilizzo di un proxy front-end come Cloudflare per gestire l'SLL) è l' unico modo per crittografare il traffico sul tuo sito.

Tuttavia, al giorno d'oggi questo non è necessariamente un "processo costoso". Cloudflare ha un'opzione "gratuita" e Let's Encrypt è un'autorità di certificazione gratuita che molti host supportano per impostazione predefinita.

Non lo consiglio, ma puoi ignorare questo messaggio, non usando i campi di testo di input originali. È possibile creare i propri campi di input, utilizzando regolari divche hanno onkeypressevento. Oppure puoi creare un divelemento con l' contenteditableattributo impostato su true.

In questo modo, gli utenti saranno in grado di inserire informazioni sul tuo sito, senza utilizzare inputelementi tag.

Se stai solo servendo file statici o puoi mettere un proxy in primo piano, potresti utilizzare un server come caddy server che gestisce tutto questo per te utilizzando Let Encrypt, questo elimina i problemi di provisioning dei certificati e non è necessario installa qualsiasi altro software.

In alternativa puoi utilizzare un servizio come cloudflare : il loro piano gratuito offre https gratuiti.

Infine, alcuni host offrono certificati https gratuiti ora, incluso dreamhost . Quindi controlla se il tuo host attuale offre questo come opzione.

Non consiglierei di provare a trovare una soluzione alternativa, c'è solo un modo per rendere sicuro il tuo sito e i browser alla fine avviseranno su ogni sito che non ha https, indipendentemente dal contenuto. Il web si sta muovendo verso https ovunque.

nessun altro sembra aver menzionato,

se possiedi tutti i computer che si collegano al tuo sito

, come un'impostazione aziendale, è possibile creare un'autorità di certificazione autonoma, installarne il certificato pubblico in tutte le macchine (ben su tutti i browser e i negozi di certificati) che si collegano al proprio sito. questa opzione è priva di monetizzazione di terze parti; è lo stesso codice di crittografia, ma non si ottiene l'accesso alla fiducia pubblica (ad es. la tua autorità non è riconosciuta da Google Chrome, Mozilla Firefox, ecc. come fa Let's Encrypts) ma verrà riconosciuta dalle macchine configurate per fidarti di te stesso .

è vero che le offerte per la creazione di un'autorità di certificazione sono complicate in qualche modo oscure e la manutenzione può richiedere molto lavoro, quindi le lascerò fuori qui, probabilmente è meglio fare una ricerca approfondita sull'argomento che ti interessa davvero in questo approccio.

anche se per una distribuzione nieve, se puoi provare XCA

• Per Debian: https://packages.debian.org/stretch/xca
• sito ufficiale: http://xca.sourceforge.net/

XCS è un modo decente per rilasciare certificati per distribuzioni minuscole e include la documentazione di aiuto che accompagna l'intero setup.

Ho un paio di idee.

Se il motivo di HTTPS è la gestione degli accessi, è possibile ridurre al minimo l'effetto su tutti i browser offrendo agli utenti di rimanere connessi. Quindi, quando un utente accede, un cookie può essere memorizzato in modo permanente sul computer dell'utente in modo che la volta successiva che l'utente accende il suo computer per accedere al sito, verrebbe automaticamente registrato invece di essere sempre presentato con un prompt di accesso e possibilmente un avviso di sicurezza.

Un'altra idea che può bypassare il messaggio ma che sarebbe più utile sia per il guest che per il server è quella di far caricare un guest con un file speciale con la corretta configurazione crittografata. Ad esempio, per la schermata di accesso, invece di chiedere all'utente di inserire il suo nome utente e la password in due caselle di testo, fare in modo che l'utente carichi un piccolo file che contenga il suo nome utente e password crittografati (ad esempio, comprimendo il nome utente e la password come zip file con un livello di compressione specifico), il server può decrittografare il file per estrarre il nome utente e la password. Il potenziale hacker vedrà incomprensibili in transito quando l'utente invia il file al server. L'unico piccolo vantaggio di questa idea è una velocità di connessione leggermente superiore poiché l'elaborazione della connessione SSL non avviene in HTTP.

No.

Qualsiasi hack che provi (ad es. Come provare a crittografare con javascript), è molto improbabile che sia persino vicino alla sicurezza.

SSL non deve essere "costoso", molti provider di hosting lo offrono gratuitamente. E anche cose come cloudflare offrono SSL gratuito e mantengono l'hosting corrente.

Una soluzione rapida e gratuita è Let's Encrypt. Link Hanno documentazione per quasi tutti i sistemi operativi del server. Lo usiamo nel nostro lavoro e i nostri fornitori di W2P lo usano per proteggere ciascuno dei nostri negozi.