SSL çoğu web sitesi için gerçekten önemli mi?

Yaptığım bu site için "güvenliği doğru yapmayı" öğrenmek konusunda oldukça paranoyak oldum (yaptığım ilk önemsiz site) ve beni rahatsız eden bir şey fark ettim: SSL.

Burada, StackOverflow üzerinde ve n kullanımdan sonra oturum kimliklerini yeniden oluşturma ve parolalarınızın tuzlanması, hashed edilmesi ve asla düz metin olarak saklanması gerekmeyen uzun bir süre devam eden başka yerlerde birçok güvenlik iş parçacığı okudum. IP adreslerini, kullanıcı aracılarını ve izleme çerezlerini kullanarak bir oturumun ele geçirildiği zaman nasıl tespit edileceği hakkında çok şey okudum.

Anlamadığım şey, web sitesi sizi normal bir HTTP POST aracılığıyla oturum açtığında ve şifrenizi tel üzerinden düz metin olarak gönderdiğinde bunların ne önemi var?

Listelediğim diğer tüm yöntemlerin genel maruziyetinizi azaltmak için gerekli olduğunu anlıyorum ve belki de zaten bu kadar güvenliğe ihtiyaç duymayan bazı siteler var, ama sorduğum şey:

• SSL ile uğraşmamak ne zaman uygun olur?

Gmail, bankanız ve LinkedIn gibi siteler, SSL kullanmak için bir nedene sahip olduğunu görebiliyorum, ancak Facebook ve reddit gibi sitelerin rahatsız etmemesini sağlayan şey nedir (cehennem, PlentyOfFish şifrenizi düz metin olarak saklar ve hatta e-posta ile gönderir) hatırlatma olarak size haftalık!?!)?

SSL'nin ayarlandığından emin olmak için ne kadar endişeliyim (özellikle paylaşılan bir ana bilgisayarla başlayacağım ve başlamak için oldukça ucuz olduğum için)? Sitem, yardımcı olursa, herhangi bir kişisel bilgi tutmaz. Site başarılı olursa, ek güvenlik için fazladan ödeme yapmaya ciddiyim.

Sizin ve kullanıcılarınızın önemli olduğunu düşündüğü kadar önemlidir. Parolaları http üzerinden düz metin olarak göndermek, onları paket koklamasına karşı savunmasız bırakır. Şimdi birisinin bu paketleri koklamayı gerçekten rahatsız edip etmeyeceği başka bir hikaye. Kullanıcılarınıza mümkün olan en güvenli deneyimi sağlamak istiyorsanız, oturum açma gönderimleri için SSL kullanın. Kullanıcılarınızın web sitenizle olumlu bir şekilde etkileşime girme olasılığının daha yüksek olacağını düşünüyorsanız (ör. Bir şeyler satın alın, bir şeyler yapın, vb.) Sonra giriş gönderimleri için SSL kullanın. Çalmaya değer bir şeyiniz varsa (ör. Kullanıcı bilgileri) SSL kullanın.

Çalmaya değecek bir şeyiniz yoksa, SSL'nin güvenliği çok fazla veya hiç artıracağını düşünmeyin ya da kullanıcılarınız bunu yararlı bir özellik olarak görmeyecektir, o zaman SSL kullanmamayı düşünebilirsiniz.

Kısıtlı bir bütçede değilseniz, SSL sertifikası yüklemenin maliyeti ne olursa olsun, bir sitenin girişini güvence altına almak asla kötü bir şey değildir. Birçok büyük sitenin en iyi uygulamaları takip etmesine gerek olmadığından, diğer sitelerin sizi etkilemesine izin vermeyin.

John'un cevabına zıt yaklaşımı göz önünde bulundurarak, kişisel olarak tanımlanabilir herhangi bir bilgiyi ele alırsanız SSL'yi ciddiye almanız gerektiğini düşünüyorum - dahil etmek için: fiziksel adreslere sahip adlar, e-posta adresleri, finansal bilgiler ve kullanıcıların makul olarak özel olmasını beklediği iletişimler .

Siteniz kullanıcıların kendileri hakkında bilgi yayınlaması için bir araç sağlamadığı sürece, kullanıcılarınızın sizin tarafınızdan tutulması ve sizin sitenizin gizlilik politikası kullanıcılarınızı aksini bildirmediği sürece yalnızca sizin tarafınızdan tutulan kişisel olarak tanımlanabilir bilgileri göz önünde bulundurmalısınız.

Yetkisiz üçüncü tarafların ziyaretçilerinizin bilgilerini görmesini engelleyin ve kullanıcılarınızı ziyaretçilerinizin güvenini korumak için bilgilerini nasıl kullandığınız konusunda bilgilendirin.

Facebook bile bunu söyleyebildiğim kadarıyla yapıyor.

<form method="POST" action="https://login.facebook.com/login.php?login_attempt=1" id="login_form" onsubmit=";var d=document.documentElement;if (d.onsubmit) { return d.onsubmit(event); }else { return Event.fire(d, &quot;submit&quot;, event); }">

(Facebook.com giriş HTML kaynağı)

Ağustos 2014 itibariyle Google, HTTPS'nin bir sıralama sinyali olarak kullanılacağını resmen belirtti .

Bu, web siteniz tamamen statik bir web sitesi olsa bile, SEO'yu önemsiyorsanız en azından bir SSL sertifikası oluşturmayı düşünmeniz gerektiği anlamına gelir.

Tabii ki HTTPS, yüzlerce sıralamanın sadece bir tanesidir, bu yüzden SEO için yapabileceğiniz daha önemli şeyler vardır.

Dikkate almamanız gereken bir açı: SSL / TLS kullanmamak, sitenizde oturum açmamış olsa bile kullanıcılarınızı pasif izlemeye maruz bırakabilir.

Bir tehdit aktörü, kullanıcının istediği tüm URL'leri izleyerek ve kullanıcının görüntülediği şeylerin kalıplarını oluşturarak, kullanıcı ile İnternetin geri kalanı arasında oturabilir. Bireysel bilgi bitleri gerçekten de izolasyonda önemsiz olabilir, ancak çok sayıda küçük bilgi parçasını birleştirmek çok daha büyük bir resim oluşturabilir.

Bu nedenle HTTPS'yi yalnızca statik içerik sağlayan kendi sitemde sunuyorum.