Http’i https’ye yönlendirmek kötü mü?

Sunucuma az önce bir SSL Sertifikası yükledim.

Ardından Port 80'deki alanımdaki tüm trafik için Port 443'e yönlendirmek üzere bir yönlendirme yaptı.

Başka bir deyişle, tüm http://example.comtrafiğim şimdi https://example.comsayfanın uygun sürümüne yönlendiriliyor .

Yönlendirme Apache Virtual Hosts dosyamda şöyle bir şeyle yapılır ...

RewriteEngine on
ReWriteCond %{SERVER_PORT} !^443$
RewriteRule ^/(.*) https://%{HTTP_HOST}/$1 [NC,R,L] 

Sorum şu ki, SSL kullanmanın bir sakıncası var mı?

Bu bir 301 Yönlendirme olmadığından, arama motorlarına geçerek link suyunu / sıralamasını kaybeder miyim https?

Yardımın için minnettarım. Her zaman SSL'yi bir sunucuya kurmak istemişimdir, sadece bunu yapmak için, ve sonunda bu gece yapmaya karar verdim. Şu ana kadar iyi çalışıyor gibi görünüyor, ancak bunu her sayfada kullanmanın iyi bir fikir olup olmadığından emin değilim. Sitem e-Ticaret değil ve hassas verileri işlemiyor; Genelde görünüş ve öğrenme için kurmanın heyecanı.

GÜNCELLEME SAYISI

Garip Bing bu ekran görüntüsünü sitemden yaratıyor, şimdi her yerde HTTPS kullanıyor ...

[R]Kendi başına bayrak bir olan 302yönlendirme ( Moved Temporarily). İnsanların sitenizin HTTPS sürümünü kullanmasını gerçekten istiyorsanız (ipucu: siz yapın), [R=301]kalıcı bir yönlendirme için kullanıyor olmalısınız :

RewriteEngine on
RewriteCond %{SERVER_PORT} !^443$
RewriteRule ^/(.*) https://%{HTTP_HOST}/$1 [NC,R=301,L] 

Bir 301google-fu ve zor kazanılan PageRanks tüm tutar bozulmamış . mod_rewriteEtkinleştirildiğinden emin olun :

a2enmod rewrite

Tam sorunuzu cevaplamak için:

Http’i https’ye yönlendirmek kötü mü?

Cehennem hayır. Çok iyi.

Yalnızca SSL siteleri fikrini desteklerken, site tasarımınıza bağlı olarak bir dezavantajın genel gider olduğunu söyleyebilirim. Örneğin, img etiketlerinde çok sayıda ayrı görüntü sunuyorsanız, bu sitenizin daha yavaş çalışmasına neden olabilir. Aşağıdakileri üzerinde çalıştıklarından emin olmak için yalnızca SSL kullanan sunucuları tavsiye ederim.

1. Sitenin tamamını dahili bağlantılar için kontrol edin ve bağlantılarda kendi etki alanı adınızı belirtirseniz hepsinin HTTPS kullandığından emin olun, böylece kendi yönlendirmelerinize neden olmazsınız.
2. <meta property="og:url"Alan adınızın https sürümünü kullanarak sizi güncelleyin .
3. <base href=HTTPS kullanmak için tekrar güncellemeyi kullanıyorsanız.
4. Mümkünse SPDY protokolünü yükleyin
5. İsteğin sayısını azaltmak için, mümkün olduğunda CSS Image sprite kullandığınızdan emin olun.
6. Site haritalarınızı https durumunu belirtecek şekilde güncelleyin, böylece zamanla örümcekler bu değişikliği öğrenirler.
7. HTTPS'yi tercih etmek için Google Web Yöneticisi Araçları gibi Arama Motoru tercihlerini değiştirin
8. Mümkün olduğunda, herhangi bir statik ortamı HTTPS CDN sunucularına boşaltın.

Yukarıdakilere değinilirse, o zaman birçok sorun yaşayacağınızdan şüpheliyim.

Ben https kurdum o zaman sitede her yerde kullanmanız gerekir. Karma içerik sorunları riskinden kaçınacaksınız ve gerekli araçlara sahipseniz neden tüm siteyi güvenli hale getirmiyorsunuz?

Http'den https'ye yönlendirmeye gelince cevap o kadar basit değil.

Yönlendirme, kullanıcılarınız için çok daha kolay hale getirecek, sadece whateversite.com yazarak https’e yönlendirilecekler.

Fakat. Kullanıcı bazen güvenli olmayan bir ağdaysa (veya Troy Hunt ve Ananasına yakınsa )? Ardından kullanıcı http: //whateversite.com’u eski alışkanlık dışı bırakmayı talep edecektir . Bu http. Bu tehlikeye girebilir. Yönlendirme https://whateversite.com.some.infrastructure.long.strange.url.hacker.org adresini işaret edebilir . Sıradan bir kullanıcı için oldukça yasal görünüyor. Ancak trafik engellenebilir.

Bu yüzden burada iki rakip şartımız var: Kullanıcı dostu ve güvende olmak. Neyse ki, HSTS başlığı olarak adlandırılan bir çare var . Bununla beraber yönlendirmeyi etkinleştirebilirsiniz. Tarayıcı güvenli siteye taşınır, ancak HSTS başlığı sayesinde de bunu hatırlarsınız. Kullanıcı, güvensiz ağda oturan whateversite.com'da yazdığında, tarayıcı http üzerinden yönlendirmeye geçmeden hemen https'ye gidecektir. Çok hassas verilerle ilgilenmiyorsanız, bunun çoğu site için güvenlik ve kullanılabilirlik arasında adil bir denge olduğunu düşünüyorum. (Geçenlerde tıbbi kayıtları ele alan bir uygulama kurduğumda, yeniden yönlendirmeden tüm https'ye gittim). Ne yazık ki Internet Explorer'ın HSTS desteği yok ( kaynak), bu nedenle hedef kitleniz çoğunlukla IE kullanıyorsa ve veriler hassassa yönlendirmeleri devre dışı bırakmak isteyebilirsiniz.

Dolayısıyla, IE kullanıcılarını hedeflemiyorsanız, devam edin ve yönlendirmeyi kullanın, ancak HSTS başlığını da etkinleştirin.

Bunda yanlış bir şey yok ve aslında en iyi yöntem ( güvenli bir bağlantı üzerinden sunulması gereken siteler için ). Aslında, yaptığınız şey kullandığım yapılandırmaya oldukça benzer:

<VirtualHost 10.2.3.40:80>
  ServerAdmin me@example.com
  ServerName secure.example.com
  RedirectMatch 301 (.*) https://secure.example.com$1
</VirtualHost>

# Insert 10.2.3.40:443 virtual host here :)

301Durum kodu bir işaret kalıcı (örn imi güncellemek) gelecekteki bağlantıları için güvenli URL kullanmak yetenekli müşterilerine talimat, yönlendirme.

Siteye yalnızca TLS / SSL üzerinden hizmet verecek olursanız, güvenli sanal sunucunuzda HTTP Sıkı Aktarım Güvenliği'ni (HSTS) etkinleştirmek için bir yönerge öneririm :

<IfModule mod_headers.c>
  Header set Strict-Transport-Security "max-age=1234; includeSubdomains"
</IfModule>

Bu başlık, yetenekli müşterilere (bugünlerde çoğu, inanıyorum) , sonraki alan için yalnızca sağlanan alanla HTTPS kullanmaları gerektiğini ( secure.example.combu durumda) bildirir 1234. ; includeSubdomainsKısmıdır opsiyonel ve direktif sadece geçerli etki değil uygulandığını gösterir, ancak bu (örn altında herhangi bir alpha.secure.example.com). HSTS başlığının yalnızca bir SSL / TLS bağlantısı üzerinden servis yapıldığında tarayıcılar tarafından kabul edildiğini unutmayın !

Sunucu yapılandırmanızı mevcut en iyi uygulamalara karşı test etmek için iyi bir ücretsiz kaynak Qualys’in SSL Sunucu Testi hizmetidir; En az bir A - puanı almayı hedefliyordum (eliptik eğri şifrelemesi için destek eksikliği nedeniyle Apache 2.2 ile bundan daha fazlasını elde edemezsiniz).

Vaov ! HTTP'yi HTTPS'ye yönlendirmek çok iyi bir şey ve bunun için dezavantajları göremiyorum.

Tarayıcıdaki sertifika hakkında kullanıcı dostu olmayan uyarılardan kaçınmak için müşterilerinizin doğru CA'ya sahip olduklarından emin olun.

Ayrıca, Apache'yi HTTPS'ye yönlendirmek için kurulum şekliniz tamam görünüyor.

Http’i https’ye yönlendirmek kötü mü?

Hayır, hiç de değil. Aslında, yapılması gereken iyi bir şey!

Yönlendirmelerde:

Yeniden yazmaları tamamen ortadan kaldırarak daha verimli olabilir . İşte benim benzer bir durum için benim yapılandırma.

<VirtualHost *:80>
  ServerName domainname.com

  <IfModule mod_alias.c>
    Redirect permanent / https://domainname.com/
  </IfModule>
</VirtualHost>

HTTPS tam olarak kusursuz değildir. Elbette normalde HTTPS'yi zorlamak iyi bir şeydir. Normal suçluların kullanıcılarınıza kötü bir şey yapmasını önler.

Fakat lütfen SSLCiphers ayarı gibi SSL Ayarlarını kontrol etmeyi unutmayın. RC4 şifrelemesi, SSLv2 ve SSLv3 protokolü gibi şeyleri devre dışı bırakın. Ayrıca, sisteminizin kripto sistemi kütüphanelerinin TLS1.2'yi destekleyip desteklemediğini öğrenmelisiniz (sahip olmak istediğiniz şey budur).

SSL'yi aç, iyi bir şey.

Şahsen, web’deki bağlantıları güvenli hale getirmek için SSL’nin kullanımı konusunda hepim var, ancak buradaki tüm cevapların kaçırdığı bir noktanın, HTTP bağlantısı yapabilen her cihaz ve yazılım parçasının SSL kullanamayacağı anlamına geldiğini hissediyorum. bu nedenle, eğer desteklenmiyorsa, kullanıcılardan kaçınmaları için bir yol sağlamayı düşünürdüm. Ayrıca, şifreleme teknolojisinin yasa dışı olduğu bazı ülkelerdeki kişilerin sitenize erişmesine izin verilmemesi de mümkündür. Sitenin güvensiz sürümünü zorlamak için bir bağlantı içeren şifrelenmemiş bir açılış sayfası eklemeyi düşünürdüm, ancak bir kullanıcı özellikle sizin söylediğiniz gibi yapmayı seçmezse ve bunları yalnızca HTTPS sürümüne iletmezse.

İşte geniş kapsamlı fırça darbesi sorunlarından bazıları:

• MITM / SSLSTRIP : Bu çok büyük bir uyarıdır . Sitenizi HTTPS üzerinden sunacaksanız, sitedeki HTTP'yi devre dışı bırakın . Aksi takdirde, kullanıcılarınızı, istekleri engelleyecek ve sessizce HTTP üzerinden hizmet edecek olan SSLSTRIP dahil olmak üzere çeşitli orta düzey saldırılara açık bırakacaksınız. Kullanıcı fark etmezse , oturumun gerçekte olmadığında güvenli olduğunu düşünürler .

  • Bununla birlikte, bununla birlikte, siteniz herkese açık bir site ise ve HTTP'yi yanlış bir şekilde devre dışı bırakırsanız, çok fazla ziyaretçiyi kaybedebilirsiniz. Site HTTP ile yüklenmezse büyük olasılıkla HTTPS denemeleri bile gerçekleşmeyecek .

• Siteniz güvenli bir oturum açmaya ihtiyaç duyuyorsa, tüm kullanıcı oturumu güvenli olmalıdır. HTTPS üzerinden kimlik doğrulaması yapmayın, ardından kullanıcıyı tekrar HTTP'ye yönlendirin. Bunu yaparsanız, yine kullanıcılarınızı MITM saldırılarına karşı savunmasız bırakıyorsunuz. Bugünlerde kimlik doğrulaması için standart yaklaşım, bir kez kimlik doğrulaması yapmak, sonra bir kimlik doğrulama belirtecini ileri geri (bir çerez içinde) iletmektir. Ancak HTTPS üzerinden kimliğinizi doğrularsanız ve ardından HTTP'ye yönlendirirseniz, ortadaki bir adam bu çekiğe müdahale edebilir ve siteyi kimliği doğrulanmış kullanıcınızmış gibi kullanabilir, güvenliğinizi atlayabilir.

• HTTPS ile "performans" sorunları, tümüyle pratik bir amaç için, yeni bir bağlantı kurmaya dahil olan el sıkışma ile sınırlıdır. Bir URL’den birden çok HTTPS bağlantısına olan ihtiyacı en aza indirmek için elinizden geleni yapın; Ve açıkçası bu, içeriğinizi HTTP üzerinden sunsanız bile geçerlidir. SPDY'yi okursanız, yaptığı her şeyin tek bir URL’deki tüm içeriği tek bir bağlantı üzerinden sunmaya yönelik olduğunu fark edersiniz. Evet, HTTPS kullanmak önbelleklemeyi etkiler. Fakat kaç web sitesi bugünlerde sadece statik, önbelleklenebilir bir içeriktir? Gereksiz veritabanı sorgularını tekrar tekrar değiştirmeden tekrar tekrar almak ve pahalı kod yollarının gereğinden fazla çalıştırılmasını önlemek için web sunucunuzda önbelleğe alma özelliğini kullanarak paranızın karşılığını daha fazla alabilirsiniz.

Bu, teknik olarak orijinal sorunuza bir cevap değildir, ancak HTTPSEverywhere Google Chrome uzantısını kullanırsanız (diğer tarayıcılarda benzer uzantılar olduğundan eminim), uzantı, HTTP içeren siteleri otomatik olarak HTTPS ile aynı siteye yönlendirir. Bir süredir kullanıyorum ve herhangi bir sorun yaşamadım (yavaşlama dışında, ama test etmedim). HTTPSEverywhere, sunucu tarafında belirli kurallarla değiştirilebilir, ancak bu alanda fazla bir şey yapmadığımdan, ayrıntılardan tam olarak emin değilim.

Asıl sorunuza geri dönersek, HTTPSEverywhere gibi bir şey kullanırsanız, sadece HTTP kullanmak için daha az teşvik vardır, ancak ihtiyaç duyduğunuzda doğru kuralları belirlemenin zor olduğunu hayal ediyorum.

HTTP üzerinden HTTPS'ye geri dönmenin tek teknik yolu, HTTPS isteklerini işlemenin düz HTTP'den daha hesaplamalı olarak daha pahalı olmasıdır.

Bununla birlikte, modern sunucuların çoğunun yüksek güçlü CPU'ları olduğu göz önüne alındığında, bu etki, zaten yük dengeleyicilerini kullanmanın muhtemel olduğundan daha fazla trafik seviyelerinde olmadığınız sürece genellikle ihmal edilebilir

SSL / TLS'nin çalışmasını gerektiren SPDY gibi protokollerin ortaya çıkması ile birlikte, bu, yukarıda belirtilen hesaplama ek yükünü, çoklu taleplerde önemli performans iyileştirmeleri sağlayarak ve müşteriye varlıkları genel olarak daha hızlı elde ederek karşılar.

Https'ye yönlendirmek çok iyidir, ancak okudum, yönlendirmeyi nasıl düzenlediğinize de bağlı.

Security.stackexchange.com adresindeki cevapta önerildiği şekilde, gelen http isteklerini https bağlantınıza yönlendirmek için özel bir sanal sunucu yapmak çok akıllıdır ve bazı ek güvenlik tehditlerini kapatacaktır. Apache'deki bir konfigürasyon şuna benzer:

# Virtual host for rerouting
<VirtualHost *:80>
    ServerName www.example.com
    Redirect permanent / https://www.example.com/
</VirtualHost>

# Virtual host for secure hosting on https
<VirtualHost *:443>
    ServerName www.example.com
    SSLEngine on
    Header set Strict-Transport-Security "max-age=8640000;includeSubdomains"

    ...site settings...

</VirtualHost>