Qual è il vantaggio di forzare un sito a caricare su SSL (HTTPS)?

Diciamo che ho un sito di soli contenuti di grandi dimensioni; nessun accesso o logout, nessun nome utente, nessun indirizzo e-mail, nessuna area sicura, niente di segreto sul sito, nada. Le persone vengono semplicemente sul sito, passano da una pagina all'altra e guardano i contenuti.

Oltre ad un lieve urto a livello SEO da Google ( molto leggero, da quello che ho letto), c'è qualche vantaggio di costringere il sito di carico tramite HTTPS?

HTTPS non fornisce solo segretezza (di cui dubiti del valore, anche se ci sono ancora buone ragioni per farlo) ma anche autenticità , che è sempre utile. Senza di essa, un punto di accesso / router / ISP / ecc. Dannoso. può riscrivere qualsiasi parte del tuo sito prima di mostrarlo all'utente. Ciò potrebbe includere:

• iniettando annunci per i tuoi concorrenti
• iniettare annunci o fastidiosi widget che rendono il tuo sito un aspetto negativo e danneggiano la tua reputazione
• iniettare exploit per eseguire download drive-by di malware sul computer del visitatore, che poi (giustamente!) ti incolpa per l'accaduto
• sostituendo i download di software dal tuo sito con quelli che hanno malware in bundle
• abbassando la qualità delle tue immagini
• rimuovendo parti del tuo sito che non vogliono farti vedere, ad esempio cose che competono con i loro servizi o li descrivono in cattiva luce
• eccetera.

La mancata protezione degli utenti da queste cose è irresponsabile.

"niente di segreto sul sito"

... secondo te . Potrebbe esserci un motivo perfetto per cui qualcuno vuole una connessione sicura. Crea (in parte) la privacy:

Il mio amministratore può vedere che sto navigando su un sito di immagini sul mio telefono tramite url, ma non può dire se sto guardando foto di gatti carini o porno hardcore. Direi che è dannatamente buona privacy. "un contenuto" e "il contenuto" possono fare la differenza nel mondo. - Agente_L

Potresti pensare che sia insignificante, o forse non è un grosso problema ora, ma potrebbe essere in un altro momento. Sono fermamente convinto che nessuno a parte me e il sito web dovrebbe sapere esattamente cosa sto facendo.

Crea fiducia. Avere il lucchetto è un segno di sicurezza e può significare un certo grado di competenza riguardo al sito Web e quindi ai tuoi prodotti.

Ti rende meno un bersaglio per esempio attacchi MitM. La sicurezza aumenta.

Con iniziative come Let's Encrypt , che lo rendono molto più semplice e gratuito , non ci sono molti aspetti negativi. Oggigiorno la potenza della CPU assorbita da SSL è trascurabile.

Ottieni supporto HTTP / 2 , il nuovo standard Web progettato per migliorare in modo significativo la velocità di caricamento del sito Web .

Poiché i produttori di browser hanno scelto di supportare HTTP / 2 solo su HTTPS, abilitare HTTPS (su un server che supporta HTTP / 2) è l'unico modo per ottenere questo aggiornamento di velocità.

(Parti tratte dalla mia risposta a una domanda simile.)

HTTPS può ottenere due cose:

• Autenticazione . Assicurarsi che il visitatore stia comunicando con il vero proprietario del dominio.
• Crittografia . Assicurarsi che solo questo proprietario di dominio e il visitatore possano leggere la propria comunicazione.

Probabilmente tutti concordano sul fatto che HTTPS dovrebbe essere obbligatorio quando si trasmettono segreti (come password, dati bancari ecc.), Ma anche se il tuo sito non elabora tali segreti, ci sono molti altri casi in cui e perché l'uso di HTTPS può essere utile.

Gli aggressori non possono manomettere il contenuto richiesto.

Quando si utilizza HTTP, gli intercettatori possono manipolare il contenuto che i visitatori vedono sul tuo sito web. Per esempio:

• Incluso malware nel software che offri per il download (o se non offri download di software, gli aggressori iniziano a farlo).
• Censurare alcuni dei tuoi contenuti. Cambiare le tue espressioni di opinione.
• Iniezione di annunci pubblicitari.
• Sostituendo i dati dell'account delle donazioni con i propri.

HTTPS può impedirlo.

Gli aggressori non possono leggere il contenuto richiesto.

Quando si utilizza HTTP, gli intercettatori possono sapere a quali pagine / contenuti dell'host accedono i visitatori. Sebbene il contenuto stesso possa essere pubblico, la conoscenza che una persona specifica lo consuma può essere problematica:

• Apre un vettore di attacco per il social engineering .
• Violi la privacy.
• Può condurre a sorveglianza e punizione (fino alla reclusione, tortura, morte).

Questo, ovviamente, dipende dalla natura dei tuoi contenuti, ma ciò che ti sembra innocuo può essere interpretato in modo diverso da altre parti.

Meglio prevenire che curare. HTTPS può impedirlo.

Previene gli attacchi man in the middle che ti fanno pensare che stai visitando il tuo sito ma presentano una pagina che proviene effettivamente da un altro e potrebbe tentare di ottenere informazioni da te. Poiché i dati sono crittografati, rende anche più difficile per un utente malintenzionato manipolare la pagina come la vedi.

Perché hai bisogno di un certificato SSL, che verifica che sei il proprietario del sito almeno fornendo almeno una verifica di chi sei.

Le aziende di marketing come Hitwise pagano gli ISP per raccogliere dati sul tuo sito quando non usi SSL. Vengono raccolti dati sul tuo sito che potresti non conoscere i tuoi concorrenti:

• dati demografici dell'utente
• statistiche sui visitatori
• pagine popolari
• parole chiave del motore di ricerca (anche se con "non fornito" questo è un problema minore in questi giorni)

E, solo per aggiungere un'altra cosa a tutte le risposte, parlerò solo della latenza. Perché, sembra che nessuno abbia scritto qui a riguardo.

Avere una bassa latenza HTTP da client a server è fondamentale per creare siti Web responsive a caricamento rapido.

TCP / IP da solo ha un handshake a 3 vie (la configurazione iniziale della connessione per HTTP su TCP semplice richiede 3 pacchetti). Quando si utilizza SSL / TLS, l'impostazione della connessione è maggiormente coinvolta, il che significa che la latenza per le nuove connessioni HTTPS è inevitabilmente superiore a quella del testo in chiaro HTTP.

Il problema con HTTP è che non è sicuro. Quindi, se si dispone di dati sensibili, è necessaria una qualche forma di sicurezza. Quando si digita qualcosa nel browser Web che inizia con "https", si chiede al browser di utilizzare un livello di crittografia per proteggere il traffico. Ciò fornisce una protezione ragionevole contro gli intercettatori, ma il problema è che sarà più lento. Dal momento che vogliamo crittografare il nostro traffico, ci sarà un certo calcolo coinvolto, che aumenta il tempo. Ciò significa che se non si progetta correttamente il sistema, il sito Web apparirà lento per gli utenti.

Concludere:

Ho un sito di soli contenuti di grandi dimensioni; nessun accesso o logout, nessun nome utente, nessun indirizzo e-mail, nessuna area sicura, niente di segreto sul sito, nada. Le persone vengono semplicemente sul sito, passano da una pagina all'altra e guardano i contenuti.

In questo caso, non userò affatto SSL. Vorrei avere la mia pagina quando fai clic su di essa che si apre in un secondo. È per esperienza dell'utente. Fai come desideri, io non metto certificati su tutto ciò che faccio. In questo caso particolare, non lo userei affatto.

Oltre ai vantaggi menzionati da altri c'è un motivo che ti farà passare a SSL a meno che non ti interessi dei tuoi visitatori che usano Chrome: le nuove versioni di Chrome (a partire dalla fine dell'anno per quanto mi ricordo) sono mostrerà un avviso (che allontanerà gli utenti dal tuo sito) per impostazione predefinita per tutti i siti che non utilizzano HTTPS.

//MODIFICARE:

Qui ci sono collegamenti ad altri due articoli dettagliati, anche se non riesco a trovare quello di cui ho letto quando hanno intenzione di presentare ufficialmente la funzione:

https://motherboard.vice.com/read/google-will-soon-shame-all-websites-that-are-unencrypted-chrome-https

http://www.pandasecurity.com/mediacenter/security/websites-that-arent-using-https/

La semplice risposta è che non c'è una buona ragione per non farlo . In passato c'erano argomenti sull'utilizzo di SSL solo se assolutamente necessario (ad esempio sui siti di e-commerce che raccolgono dettagli di pagamento).

Ciò dipendeva in gran parte dalla procedura di installazione per i certificati SSL, i costi, il carico aggiuntivo sul server web e le limitazioni della rete, in un momento in cui le persone non avevano la banda larga, ecc. Nessuno di questi motivi si applica davvero nel 2016.

In termini di SEO, sappiamo che l'obiettivo della maggior parte dei motori di ricerca è quello di fornire i migliori risultati per i loro utenti, e questo può essere fatto dando loro una connessione sicura al sito che stanno navigando. A questo proposito, i motori di ricerca non si preoccupano se sul sito siano presenti dati "sensibili" (presentati o raccolti); è semplicemente il caso che se il sito viene offerto tramite HTTPS, tutti i potenziali rischi di autenticazione e crittografia sono notevolmente ridotti al minimo, quindi il sito sarebbe considerato "migliore" rispetto al sito equivalente senza HTTPS.

Fondamentalmente, è così semplice e diretto da implementare, oggi è visto come la migliore pratica. Come sviluppatore web, prendo in considerazione l'installazione di un certificato SSL e quindi la forzatura di tutte le richieste su HTTPS (molto facile usando .htaccess o un equivalente) come parte standard di qualsiasi sito o applicazione web che creo.

Oltre alle altre risposte, i browser dovrebbero (come in RFC 2119) inviare l' User-Agentintestazione. Fornisce informazioni sufficienti sulla piattaforma utilizzata da un utente se invia l'effettivo User-Agent. Se Eva riesce a intercettare una richiesta fatta da Alice, e Alice invia l'attuale User-Agent, Eve saprà quale piattaforma utilizza Alice senza che Alice si colleghi al server di Eva. Sarà più facile hackerare il computer di Alice con tale conoscenza.

Hai due opzioni per proteggere il tuo dominio principale (mysite.com) e i suoi sottodomini (play.mysite.com e test.mysite.com). SSL non è solo per e-commerce, siti di commercianti di pagamento in cui le transazioni finanziarie o le credenziali di accesso sono condivise sul sito Web. È altrettanto importante per il sito Web basato sul contenuto. Gli aggressori cercano sempre un sito Web HTTP semplice o una scappatoia nel sito Web. SSL non solo fornisce sicurezza ma autentica anche il tuo sito web. Il vantaggio principale di avere SSL sul sito Web basato sul contenuto è che,

• Puoi evitare attacchi man-in-middle che possono alterare il contenuto del sito.

• Inoltre, il tuo sito Web avrà autenticità che notifica ai visitatori che le loro informazioni saranno protette se condividono con il sito Web.

• Ottengono la certezza dell'autenticità del sito Web.

• Inoltre, il tuo sito Web sarà libero dall'iniezione di annunci dannosi, exploit, widget indesiderati, sostituzione di software e danni alle pagine Web una volta che avrai SSL sul tuo sito web.

• Il certificato SSL offre un sigillo del sito statico che può essere inserito in qualsiasi pagina Web per sicurezza e i clienti possono fare clic sul sigillo per conoscere i dettagli del certificato SSL installato.

Altre risposte hanno parlato dei vantaggi di HTTPS. Da un utente sarebbe costretto a utilizzare HTTPS? Per due motivi:

• Se offri agli utenti la possibilità di non utilizzare HTTPS, probabilmente non lo faranno, soprattutto perché la maggior parte dei browser utilizza http: // e non https: // per impostazione predefinita quando digita un dominio nella barra degli indirizzi.
• Implementando sia una versione protetta che una versione non sicura, si aumenta la superficie di attacco della connessione. Dai agli aggressori la possibilità di eseguire un attacco di downgrade anche se pensi di utilizzare la versione sicura.
• Se reindirizzi ogni URL http: // all'https: // equivalente, ciò semplifica la vita dell'amministratore del server e dei motori di ricerca. Nessuno deve preoccuparsi se http: // e https: // debbano essere equivalenti o destinati a puntare a cose completamente diverse, reindirizzando l'uno all'altro è chiaro a tutti quali URL devono essere utilizzati.