Dobra praktyka czy zła praktyka wymuszania na HTTPS całej witryny?

Question

Mam witrynę, która działa bardzo dobrze, gdy wszystko jest w HTTPS (uwierzytelnianie, usługi internetowe itp.). Jeśli wymieszam http i https, wymaga to więcej kodowania (problemy z wieloma domenami).

Nie wydaje mi się, aby zobaczyć wiele stron internetowych, które są całkowicie w HTTPS, więc zastanawiałem się, czy to zły pomysł, aby przejść o tym w ten sposób?

Edit: Witryna ma być utrzymywana na chmurze Azure gdzie przepustowość i użycie procesora może być problemem ...

Answer 1

Jeśli nie masz żadnych skutków ubocznych, prawdopodobnie na razie jesteś w porządku i możesz być szczęśliwy, że nie tworzysz pracy tam, gdzie nie jest ona potrzebna.

Jednak istnieje mały powód do szyfrowania całego ruchu. Z pewnością są to dane logowania lub inne poufne dane. Jedną z głównych rzeczy, które tracisz, jest buforowanie w dół. Twoje serwery, pośredni dostawcy usług internetowych i użytkownicy nie mogą buforować https. Może to nie być całkowicie istotne, ponieważ czyta, że ​​świadczysz tylko usługi. Jednak zależy to całkowicie od konfiguracji i możliwości buforowania, a wydajność w ogóle.

Answer 2

HTTPS zmniejsza przepustowość serwera więc może być dobrym pomysłem, jeśli sprzęt nie może sobie z tym poradzić. Możesz znaleźć this post useful. Ten artykuł (akademicki) omawia także the overhead of HTTPS.

Answer 3

tracisz wiele funkcji https (związane głównie z realizacją)

• proxy nie mogą stron cache
• nie można użyć odwrotnego proxy dla poprawy wydajności
• Nie może obsługiwać wiele domen na sam adres IP
• Oczywiście, szyfrowanie zużywa CPU

Może to nie jest problem dla ciebie, to naprawdę zależy od wymagań.

Answer 4

Jeśli masz żądania HTTP przychodzące ze strony HTTPS, zmuszasz użytkownika do potwierdzenia ładowania niezabezpieczonych danych. Irytujące na niektórych stronach internetowych używam.

Answer 5

Nienawidzę biegać w bezsensownie wszystkich stronach https, które nie obsługują niczego, co naprawdę wymaga szyfrowania. Głównie dlatego, że wszystkie wydają się być 10 razy wolniejsze niż każda inna strona, którą odwiedzam. Podobnie jak większość stron dokumentacji na developer.mozilla.org zmusi Cię do obejrzenia go za pomocą https, bez żadnego powodu, a ładowanie trwa zawsze długo.

Answer 6

Zaleca się korzystanie z całego HTTPS - lub przynajmniej dostarczanie kompetentnych użytkowników z opcją dla wszystkich HTTPS.

Jeśli istnieją przypadki, w których protokół HTTPS jest zupełnie bezużyteczny, a w niektórych przypadkach pogorszona jest wydajność, tylko wtedy domyślnie lub zezwolisz na użycie technologii innej niż HTTPS.