WebサイトのSSL証明書はどれくらい重要ですか？

私は自分のプロジェクトをブートストラップしています。登録/ログイン領域があります（RoRを使用したデバイスを介して、もちろん適切にハッシュ化およびソルトされます）。私はサブドメインを使用しており、iframeでそれらにアクセスする必要があるので（本当に正当です！）、サブドメインをカバーする高価な証明書の1つが必要です。

私は自分の時間とお金でこれをやっているので、証明書に数百を落とすことにplusしており、さらに私が今まで試したことのないものを掘り下げるのに数時間かかります。メールアドレスとパスワード以外の機密情報は保存していません。私が理解している限り、唯一の脆弱性は、ユーザーが暗号化されていないネットワーク（コーヒーショップなど）からログインまたはサインアップし、誰かがネットワークをリッスンしているときに発生します。

安いの？これは私が野生にリリースする前に取り組むべきものです。おそらく、起動時に通知を受けるために25,000人のユーザーがサインアップしていることに言及する必要があるので、私はそれについて緊張しています。

この質問が聞かれてから、多くのことが変わりました。サイトにHTTPSが必要ですか？はい！

1. ドメイン検証付きの証明書は、Let's Encryptなどの多くのプロバイダーから無料です。これらの証明書は、お金を払う証明書と同じくらい優れています。サーバー名の識別のおかげで、IPアドレスを所有する必要はありません。

2. ブラウザは、HTTPS以外のページをニュートラルではなく、安全でないとマークするようになっています。あなたのサイトを安全でないとマークすることは良く見えません。

3. 最新のWebテクノロジーでは暗号化が必要です。HTTPSサイトの新機能のみを有効にするChromeのポリシー、HTTPSサイトのGoogleの優先ランキング、または暗号化されたHTTP / 2がプレーンテキストHTTP / 1.1 よりも高速であるかどうかに関係なく、機会をテーブルに残しています。はい、暗号化はサーバーに負荷を追加しますが、これはほとんどのサイトでは気付かれません。特にユーザーには気付かれません。

4. プライバシーはこれまで以上に重要です。クリックストリームを販売するISPでも、すべての接続をふるいにかける秘密のサービスでも、通信を公開する正当な理由はありません。デフォルトでHTTPSを使用し、送信された情報が安全に公開され、改ざんされる可能性があることが確実な場合にのみHTTPを使用します。

   パスワードはプレーンテキスト接続で送信しないでください。

   EU-GDPRなどの一部の規制では、一般的にWebサイトのHTTPSを含む最先端のセキュリティ対策を実装する必要があります。

いくつかの非解決策があります。

• 「パスワードの代わりにOAuthを使用する」では、まだパスワードのようなトークンが関係しているという点を見逃しています。少なくとも、ユーザーは一時的なパスワードとして機能するため、保護する必要があるセッションCookieを持っています。

• 自己署名証明書はブラウザによって拒否されます。例外を追加することは可能ですが、ほとんどのユーザーはそれを行うことができません。自己署名証明書の提示は、無効な証明書を使用したMITM攻撃とユーザーが区別できないことに注意してください。

そのため、証明書は無料で、HTTPSはサイトを高速化できます。有効な言い訳はなくなりました。次のステップ：HTTPSへの移行に関するこのガイドをお読みください。

買います 証明書のコストは、それがユーザーに提供する信頼のレベルを考えるとそれほど大きくありません。それを投資と考えてください。アプリケーションが安全でないと思われる場合（そして適切に署名されたSSL証明書がWebサイトが安全であると仮定する場合）、人々はあなたの将来の製品を使用することに興味を失うかもしれません。

電子メールとパスワードを「唯一」収集している場合は、資金を投入する前に独自の証明書OpenSSL（http://www.openssl.org/）を作成してみてください。

だが...

これは、「物事を試す」ためにできることです。これは、ウェブサイトのユーザーは、これが認識/承認された証明書ではないため、警告を受けるからです。

私のアドバイスは、単に電子メールとパスワードが他の種類の露出につながる可能性のある非常に機密性の高いプライベートデータであるため、SSLに投資することです（たとえば、私は自分の電子メールアカウントに同じパスを使用しますCCデータを含むデータが公開されており、他のオンラインサービスに関するすべてのアクセス情報があり、神は他に何を知っているか...）

安全で信頼できるWEBが必要です。数十ドルは、ユーザーのセキュリティに支払う低価格です。（SSLと同じくらい基本的）

セキュリティ上の懸念

私が理解している限り、唯一の脆弱性は、ユーザーが暗号化されていないネットワーク（コーヒーショップなど）からログインまたはサインアップし、誰かがネットワークをリッスンしているときに発生します。

これは真実ではありません。ユーザーとあなたのウェブサイトの間で送信されるデータは決して安全ではありません。例として、http：//www.pcmag.com/article2/0,2817,2406837,00.aspは、人々のDNS設定を変更したウイルスの詳細が記載されています。現在のネットワークがどれほど良好に保護されていても、インターネット上で送信されたデータは、多くの異なるサーバーを経由してから送信されます。それらのいずれかが悪意のある可能性があります。

SSL証明書を使用すると、サーバーでのみ復号化できる一方向暗号化でデータを暗号化できます。そのため、データがサーバー上のどこに移動しても、他の誰もデータを読み取ることができません。

ほとんどの場合、これはホスティングに依存しますが、証明書のインストールは簡単です。ほとんどのプロバイダーがインストールします。

SSL証明書タイプ

いくつかの回答で述べたように、独自のSSL証明書を作成できます。SSL証明書は、公開鍵と秘密鍵のペアにすぎません。サーバーは公開鍵を提供し、クライアントはそれを使用して送信するデータを暗号化し、サーバー上の秘密鍵のみがそれを解読できます。OpenSSLは、独自に作成するための優れたツールです。

署名済みSSL証明書

認証局から証明書を購入すると、別のレベルのセキュリティと信頼が追加されます。繰り返しになりますが、クライアントブラウザーとWebサーバーの間に誰かが座っている可能性があります。クライアントに独自の公開鍵を与え、秘密鍵で情報を復号化し、公開鍵で再暗号化して、ユーザーにもユーザーにも知らないように渡すだけです。

ユーザーが署名付き証明書を受け取ると、ブラウザーは認証プロバイダー（Verisignなど）に接続して、受け取った公開キーが実際にWebサイトのものであり、改ざんされていないことを検証します。

したがって、はい、あなたはあなたのサイトのために署名されたSSL証明書を持っている必要があります。それはあなたをよりプロフェッショナルに見せ、ユーザーにあなたのサイトを使う心を与え、そして最も重要なことはデータ盗難からあなたを守ります。

ここで問題の核心である中間者攻撃に関する詳細情報。 http://en.wikipedia.org/wiki/Man-in-the-middle_attack

パスワードは個人情報として扱う必要があります。率直に言って、パスワードの再利用を考えると、おそらくSSNよりも機密性が高くなります。

それとあなたの説明を考えると、なぜパスワードを保存しているのでしょうか...

OpenIDを使用します。独自のログインが必要な場合は、そのための単一のサブドメインを作成し、他の場所でOpenIDを使用します。

OpenIDを実行しない場合でも、同じlogin.yourdomainパターンを使用してワイルドカード証明書を必要としないようにできますが、先ほど言ったように、今日の世界ではパスワードは少なくとも SSN /誕生日と同じくらい機密性が高いので、収集しないでくださいあなたがする必要がない場合。

Trustico経由のRapidSSLはわずか30ドルです。または、160ドル未満でRapidSSLワイルドカードを入手できます。価格保証もあるので、安く見つけた場合は一致します。

固有のIPを持っている場合は、特にリモートで機密性の高いデータを扱う場合は、証明書を取得することもあります。StartSSLから無料の信頼できる証明書を取得できるため、実際に証明書を持たない理由はありません。

買うのが賢明でしょう。前述のように、それはALL about end user trustあなたのウェブサイトです。

so I'm hesitant to drop a couple of hundreds on a certificate -まあそれは高価ではありません、あなたは50ドル未満のものを得ることができます。

SSL-あなたのサイトを保護し、あなたのサイトの訪問者に一定の自信を与えるために本当に重要です。ログインプロセスに関して、なぜOAuthを使用しないのですか？この機能により、ユーザーの Webサイトの登録に時間をかける手間が省けます。Webサイトのユーザートラフィックは、その恩恵を本当に受けます。真剣に！、それを研究する時間を見つけてください。

一般的なSSLの質問に関する適切なリファレンス-SSL証明書に関するすべて

また、ログインにサードパーティのプロバイダー（openidなど）を使用することも考えます。ほとんどのCMSはすでにサポートしています。

SSLには欠点があります。それはあなたのウェブサイトを遅くします。本当に。

人々がSSL証明書を使用している唯一の理由は、顧客のお金が関係しているときです。

顧客のお金に関与していない場合、SSL証明書を取得するという決定は純粋にビジネス指向です。

ウェブサイトにお金をかけずに顧客向けのバックエンドを使用しているが、顧客が安全であることを確認する必要がある場合は、証明書を取得してください。それはあなたの顧客の信頼のための投資です。

ワイルドカードSSL証明書にお金を落とすのが最善の選択肢かもしれませんし、そうでないかもしれません。Caddy Webサーバーhttps://caddyserver.com/をご覧ください。これには、Let's Encryptから無料の証明書を取得するためのサポートが組み込まれているなど、多くの素晴らしい機能があります。構成ファイルですべてのドメインを指定するだけで、ドメインの証明書を取得できます。もう1つの非常に優れた機能は、オンデマンドTLSです。有効にすると、証明書を持たない新しいドメインの要求を受け取るたびに、最初のTLSハンドシェイク中に証明書を取得します。つまり、文字通り何千ものドメインを持つことができ、Caddy構成で個々のドメインを構成する必要はありません。

注：私の熱意はそのように思えるかもしれませんが、私は製品の熱心なユーザーであること以外、いかなる形、形、または形でもCaddyと提携していません。

それはすべてユーザーに関するものであり、いかなる種類のセキュリティも提供せず、証明書は販売する製品にすぎません。

あなたはこれを見てみたいかもしれません

http://en.wikipedia.org/wiki/Comparison_of_SSL_certificates_for_web_servers