Recomendación: ¿el sitio web de la empresa está obligado a https?

Mi empresa quiere que su sitio web "informativo" se reescriba de HTTP a HTTPS. Técnicamente esto no es un gran problema para mí. Pero tengo dudas si esto es lo último, ya que la única razón por la que quieren esto es cifrar los formularios de contacto y registro. (Podría habilitar HTTPS para el sitio con formularios, sin embargo, no les gusta ese enfoque).

¿Cuáles son las desventajas y las desventajas de tener un sitio web de la empresa HTTPS? ¿Cuál es su experiencia y recomendación?

Las aplicaciones web se ejecutan en otra URL y están encriptadas.

Saludos

Ejecutamos algunos de nuestros sitios web solo en HTTPS, a pedido de los administradores de la empresa que querían dar un mensaje de "Nos tomamos muy en serio su privacidad", y aparte de la necesidad de una dirección IP dedicada para cada sitio, hemos Nunca noté ningún drenaje en nuestros servidores.

Todos estos son sitios de poco tráfico, quizás 1000-5000 visitas al día, principalmente de visitantes que regresan.

Con HTTPS, también puede perder:

• Almacenamiento en caché del lado del cliente (el almacenamiento en caché HTTPS generalmente se considera un no-no, pero si especifica explícitamente un expiresencabezado, algunos navegadores lo almacenarán en caché)
• Tiempos de carga rápidos para usuarios de acceso telefónico / alta latencia (el protocolo de enlace HTTPS es insignificante para banda ancha, pero bastante notable para acceso telefónico o personas en Tailandia)

Si estas cosas no te preocupan (no lo hicieron con nuestros usuarios o empresas), entonces digo que lo hagas, ¡no tiene sentido discutir!

Si el sitio web es accesible desde cualquier persona de todos modos, no hay ningún punto real en HTTPS además de habilitarlo para los formularios, ya que cualquiera puede leer la página de todos modos. Por otro lado, el impacto que HTTPS tiene en el servidor es realmente bajo, especialmente si está ejecutando alguna página dinámica de todos modos, lo que tendrá un impacto realmente imperceptible. Mi recomendación sería simplemente encenderlo en el servidor web, porque no hay nada que reescribir realmente, si alguna vez llega a una Situación en la que su servidor necesitará este pequeño rendimiento que HTTPS le quitará, podría apagarlo, pero probablemente no resolverá sus problemas de rendimiento si lo hay.

En resumen, evite la molestia de pelear por algo como esto y enciéndalo;)

HTTPS es un poco más lento y un poco más intensivo en el procesador.

HTTP puede ser leído por cualquier idiota con un sniffer de paquetes.

Ventajas de usar SSL:

• La información confidencial no se envía de forma clara.

Desventajas de usar SSL:

• Los certificados y procesos de renovación cuestan tiempo y dinero.
• Si arruinas el certificado, te verás tonto de una manera muy pública.
• El uso de la CPU aumenta, haciendo que su sitio web cargue más lentamente. Mide la diferencia.
• Los navegadores no almacenan en caché los objetos recuperados a través de https, por lo que su uso de ancho de banda aumentará y los visitantes experimentarán que su sitio es más lento, porque cada objeto se recupera a través de la red. Estime el mayor uso de ancho de banda basado en el uso actual del tráfico.

No use mod_rewrite para esto. Utilice las redirecciones http 301 o 302.

Deberá recordar comprar y renovar certificados SSL de un proveedor de certificados raíz reconocido a nivel mundial. Si olvida renovar, su sitio completo aparece con un mensaje de error.

Cifrar solo el envío de formularios protege contra espías casuales, pero un hombre en el medio simplemente reescribiría el envío de formularios para ir a una url http simple. Si los formularios son importantes, la página de envío del formulario también debe ser https y los usuarios del formulario deben recibir una breve URL de https para escribir y marcar. Si todo su sitio redirige a páginas https, será indexado en https y los usuarios ya no tendrán que depender de escribir.

Se trata de qué modelo de amenaza quiere defender, a costa de los certificados y un poco de CPU.

Encuentro interesante que casi todos los sitios que visito usan HTTPS donde se requiere seguridad y HTTP en otros lugares. Espero que eso se deba a los gastos generales impuestos por HTTPS, como ya han mencionado otros.

Ver mi respuesta en una pregunta. Si bien esa pregunta original era sobre JBoss y AJP, la respuesta incluía un conjunto de reglas mod_rewrite que redirige el tráfico que no es HTTPS a HTTPS.

HTTPS ralentizará su sitio web, pero no por las razones que otros han sugerido. No "absorberá su CPU", sino que solo aumentará la latencia al agregar protocolos de enlace SSL a los protocolos de enlace TCP para cada conexión. Esto puede hacer que el rendimiento disminuya mucho en situaciones en las que se requieren muchas conexiones para cargar la página (por ejemplo, muchas imágenes, etc.), especialmente si tiene activadas las funciones HTTP.

Tener todo el sitio en HTTPS ciertamente hace que el desarrollo sea más fácil: todo el sitio en HTTPS significa que sus desarrolladores no deben preocuparse por qué bits deben ser HTTP y HTTPS, y qué páginas deben cambiar de una a otra, y componer enlaces absolutos a esos etc.

Anteriormente, trabajé en sitios de comercio electrónico que usaban una mezcla y se vuelve bastante difícil tratar de cambiar de seguro / no seguro en las páginas apropiadas, particularmente si el diseño y la navegación de su sitio son complicados y se reutilizan de una página a otra ( que suele estar en la mayoría de los sitios)

Visite paypal.com para ver un ejemplo de alguien que eligió poner HTTPS en su sitio completo. Pero noto que los bancos rara vez lo hacen.