Bir hafta önce Google bana HTTPS'ye gitmek için bir e-posta gönderdi. HTTP'yi HTTPS'ye aktarmazsam, siteme metin girmeye çalışan tüm sitem ziyaretçilerine bağlantımın güvenli olmadığını gösterecektir.

SSL kullanmadan, bağlantımı güvenli hale getirmenin başka bir yolu var mı? Web URL'sinde SSL kullanmak maliyetli bir işlem olduğundan, bunun yerine başka bir seçenek arıyorum.

bağlantımı güvenli hale getirmenin başka bir yolu var mı?

Google, yalnızca "güvenlik" (bir dizi farklı konu içerebilir) hakkında şikayet etmiyor, özellikle şifreleme / HTTPS'yi hedefliyor . Düz HTTP ile istemci ve sunucu arasındaki bağlantı şifrelenmez, böylece herkes gönderilen herhangi bir şeyi potansiyel olarak görebilir ve kesebilir. Normalde yalnızca kullanıcıların oturum açmasına izin veriyorsanız (ör. Kullanıcı adı / şifre gönderme) veya şifrelenmemiş bir bağlantı üzerinden ödeme bilgileri göndermeniz istenir. Genel "metin" formu gönderimleri bir sorun teşkil etmez. Ancak, @Kevin'in yorumlarda belirttiği gibi, Google / Chrome bunu gelecekte genişletmeyi planlıyor :

Sonunda, tüm HTTP sayfalarını güvenli değil olarak etiketlemeyi ve HTTP güvenlik göstergesini bozuk HTTPS için kullandığımız kırmızı üçgene değiştirmeyi planlıyoruz.

Sitenize bir SSL sertifikası yüklemek (veya SLL'yi işlemek için Cloudflare gibi bir ön uç proxy kullanmak) sitenize gelen trafiği şifrelemenin tek yoludur.

Ancak bu, bugünlerde mutlaka "maliyetli bir süreç" değildir. Cloudflare "ücretsiz" bir seçeneğe sahiptir ve Let's Encrypt , birçok ana bilgisayarın varsayılan olarak desteklediği ücretsiz bir Sertifika Yetkilisidir.

Önermiyorum, ancak orijinal giriş metin alanlarını kullanmadan bu mesajı atlayabilirsiniz. Düzenli etkinlik diviçeren kendi giriş alanlarınızı oluşturabilirsiniz onkeypress. Veya özelliği ayarlanmış bir divöğe oluşturabilirsiniz .contenteditabletrue

Bu şekilde, kullanıcılar inputetiket öğelerini kullanmadan sitenize bilgi girebilir .

Sadece statik dosyalar sunuyorsanız veya bir proxy yerleştirebiliyorsanız , tüm bunları sizin için ele geçiren caddy sunucusu gibi bir sunucu kullanabilirsiniz . başka bir yazılım yükleyin.

Alternatif olarak cloudflare gibi bir hizmet kullanabilirsiniz - ücretsiz planları ücretsiz https sunar.

Son olarak, bazı ev sahipleri şimdi dreamhost dahil ücretsiz https sertifikaları sunuyor . Bu nedenle, mevcut sunucunuzun bunu bir seçenek olarak sunup sunmadığını kontrol edin.

Geçici bir çözüm bulmaya çalışmanızı tavsiye etmem, sitenizi güvenli hale getirmenin yalnızca bir yolu vardır ve içerik ne olursa olsun, tarayıcılar https bulunmayan her sitede uyarı verecektir. Web her yerde https'ye doğru ilerliyor.

Kimseden bahsetmemiş gibi görünüyor,

sitenize bağlanan her makineye sahipseniz

kurumsal bir ayar gibi, kendi sertifika yetkilinizi oluşturabilir, bu sertifikayı sitenize bağlanan tüm makinelere (tüm tarayıcılara ve sertifika mağazalarına) yükleyebilirsiniz. bu seçenek üçüncü taraflardan para kazanma özelliğine sahip değildir; aynı şifreleme şifresidir, ancak kamu güveninde oturum açmazsınız (örneğin, yetkiniz Google'ın Chrome'u, Mozilla'nın Firefox'u vb., Let's Encrypts'in yaptığı gibi) tarafından tanınmaz, ancak kendinize güvenmek için yapılandırdığınız makineler tarafından tanınır .

Kuşkusuz, bir sertifika yetkilisi kurma anlaşmaları biraz belirsiz ve bakım çok iş olabilir - bu yüzden onları burada bırakacağım, muhtemelen gerçekten ilgilendiğiniz konu hakkında derin bir dalış araştırması yapıyorsunuz Bu yaklaşımda.

bir nieve dağıtımı için olsa da, XCA'yı deneyebilirseniz

• Debian için: https://packages.debian.org/stretch/xca
• resmi site: http://xca.sourceforge.net/

XCS, küçük dağıtımlar için sertifikalar yayınlamanın iyi bir yoludur ve tüm kurulum boyunca yürüyen yardım dokümanlarını içerir.

Birkaç fikrim var.

HTTPS'nin nedeni girişleri yönetmekse, kullanıcılara oturum açmış olmalarını önererek tüm tarayıcılar üzerindeki etkiyi en aza indirebilirsiniz. Daha sonra bir kullanıcı oturum açtığında, kullanıcının bilgisayarında bir çerez kalıcı olarak saklanabilir. siteye erişmek için bilgisayarını açar, her zaman bir oturum açma istemi ve muhtemelen bir güvenlik uyarısı ile sunulmak yerine otomatik olarak oturum açar.

İletiyi atlayabilen, ancak hem konuk hem de sunucu üzerinde daha fazla işe yarayabilecek bir başka fikir, konukların uygun yapılandırmanın şifrelenmiş özel bir dosyayı yüklemesini sağlamaktır. Örneğin, giriş ekranı için, kullanıcıdan iki metin kutusuna kullanıcı adını ve şifresini girmesini istemek yerine, kullanıcı adını ve şifresini şifreli içeren küçük bir dosya yüklemesini isteyin (örneğin, kullanıcı adını ve şifreyi zip olarak sıkıştırma belirli bir sıkıştırma düzeyine sahip), sunucu kullanıcı adını ve şifreyi ayıklamak için dosyanın şifresini çözebilir. Kullanıcı dosyayı sunucuya gönderdiğinde potansiyel bilgisayar korsanı taşıma sırasında anlamsızlık görür. SSL bağlantı işleme HTTP'de gerçekleşmediğinden, bu fikrin sadece küçük bir avantajı biraz daha hızlı bir bağlantı hızıdır.

Hayır.

Denediğiniz herhangi bir saldırı (örneğin, javascript ile şifrelemeye çalışmak gibi), güvenliğe bile yakın olması pek olası değildir.

SSL "pahalı" olmak zorunda değildir, birçok hosting sağlayıcısı ücretsiz olarak sunmaktadır. Cloudflare gibi şeyler bile ücretsiz SSL sunar ve mevcut barındırmayı korur.

Ücretsiz, hızlı bir çözüm Let's Encrypt. Bağlantı Neredeyse her sunucu işletim sistemi için dokümanları vardır. İşimizde kullanıyoruz ve W2P satıcılarımız, her mağaza önümüzün güvenliğini sağlamak için kullanıyor.