Pourquoi ne pas utiliser HTTPS pour tout?

Question

Si j'ai été la mise en place d'un serveur, et avait le certificat SSL(s), pourquoi n'aurais-je pas utiliser le protocole HTTPS pour l'ensemble du site au lieu de juste pour les achats/connexions? Je pense que cela aurait plus de sens, juste pour chiffrer l'ensemble du site, et de protéger l'utilisateur entièrement. Il permettrait d'éviter des problèmes tels que de décider ce qui doit être garanti, car tout serait, et ce n'est pas vraiment un inconvénient pour l'utilisateur.

Si j'étais déjà à l'aide de HTTPS pour une partie du site, pourquoi ne voudrais-je pas l'utiliser pour l'ensemble du site?

C'est une question connexe: http://stackoverflow.com/questions/1361531/why-is-https-only-used-for-loginmais les réponses ne sont pas satisfaisantes. Les réponses supposent que vous n'avez pas été en mesure d'appliquer le protocole https pour l'ensemble du site.

Answer 1

En plus d'autres raisons (notamment liées à la performance), vous ne pouvez héberger un domaine unique par adresse IP* lors de l'utilisation de HTTPS.

Un seul serveur peut prendre en charge plusieurs domaines dans le protocole HTTP, le Serveur HTTP en-tête permet au serveur de savoir quel domaine pour y répondre.

Avec le protocole HTTPS, le serveur doit offrir son certificat au client lors de la première poignée de main TLS (qui est avant HTTP commence). Cela signifie que le Serveur d'en-tête n'a pas été envoyé mais il n'existe aucun moyen pour le serveur pour en savoir dont le domaine est demandée et qui un certificat (www.foo.com ou www.bar.com) pour y répondre.

---

*Note de bas de page: Techniquement, vous pouvez héberger plusieurs domaines si vous héberger sur des ports différents, mais qui n'est généralement pas une option. Vous pouvez également héberger plusieurs domaines si votre certificat SSL est a une wild-card. Par exemple, vous pouvez héberger à la fois foo.example.com et bar.example.com avec le certificat * .example.com

Answer 2

Je vois deux raisons.

• Certains navigateurs peuvent prend pas en charge SSL.
• SSL peut réduire les performances un peu. Si les utilisateurs téléchargent des fichiers volumineux publics, il peut y avoir une charge système pour chiffrer ces chaque fois.
• Vous souhaiterez probablement la page d’accueil accessible via HTTP, afin que les utilisateurs n’ont pas à se rappeler de type https pour y accéder.

Answer 3

En fait, SSL n’est pas utilisé assez souvent. HTTPS doit être utilisé pour l' ensemble de la session, à aucun moment un ID de Session peuvent être envoyé via HTTP. Si vous n’utilisez https pour se connecter, alors vous êtes en violation flagrante de l’OWASP top 10 pour 2010 « A3 : Broken authentification et gestion de Session ».

Answer 4

La principale raison pour moi, au-delà de la charge système, est que ça casse l’hébergement virtuel par nom basé. Avec SSL, c’est un site - une seule adresse IP. C’est assez cher, mais aussi plus difficile à gérer.

Answer 5

Pourquoi ne pas envoyer chaque escargot-mail poste dans une inviolable opaque de l'enveloppe par Courrier recommandé? Quelqu'un dans le Bureau de Poste aura toujours des personnels de la garde, de sorte que vous pourriez être à peu près sûr que personne n'est l'espionnage sur votre mail. Évidemment, la réponse est que, bien que le courrier est en vaut la peine, plus le courrier n'est pas. Je ne m'inquiète pas si quelqu'un lit mon "Heureux que tu es sorti de prison!" carte postale de l'Oncle Joe.

Le chiffrement n'est pas libre, et il n'est pas toujours de l'aide.

Si une session (tels que des magasins, banques, etc.) va le vent vers le haut en utilisant le protocole HTTPS, il n'y a aucune bonne raison de ne pas faire la totalité de la session HTTPS dès que possible.

Mon avis est que HTTPS doit être utilisé uniquement lorsque inévitablement nécessaire, soit parce que la demande ou de la réponse doit être préservée intermédiaire d'espionnage. Comme un exemple, aller chercher à la Yahoo! la page d'accueil. Même si vous êtes connecté, la plupart de votre interaction sur HTTP. Vous authentifiez sur HTTPS et obtenir des cookies que prouver votre identité, de sorte que vous n'avez pas besoin de HTTPS pour lire de nouvelles histoires.