サイト全体のHTTPS


10

私は、パブリックコンテンツと登録ユーザー向けの個人用/カスタマイズされたコンテンツを含むかなり標準的なWebサイトで作業しています。ユーザーがログインしているときやクレジットカードの詳細を送信しているときにHTTPSを使用する必要があることはわかっています。サイト全体でHTTPSを使用するだけではいけない理由はありますか?

回答:


12

はい、サイト全体で使用してはいけない理由があります。一部のブラウザー(ブランドとバージョンによって異なります)は、HTTPSリクエストからディスクにコンテンツをキャッシュしません。これにより、静的アセットがすべてのページリクエスト(スタイルシート、JavaScript、ヘッダー画像など)で読み込まれるため、ユーザーの閲覧エクスペリエンスが大幅に遅くなる可能性があります。 。たとえば、Mozillaは次のように述べています。

「ディスクキャッシングは、ダウンロードしたファイルのコピーをハードドライブに保存するため、再表示するためにダウンロードする必要はありません。これらのページは、キャッシュフォルダーへのアクセス権を持つユーザーなら誰でも表示できます。SSL暗号化で送信されたページには、機密情報が含まれていることが多く、これらのページをディスクにキャッシュするとプライバシーリスクが発生する可能性があります。この設定は、SSL暗号化で送信されたページをディスクにキャッシュするかどうかを制御します。」

個々のブラウザがHTTPSをキャッシュする方法には多少の異議がありますが、多くのユーザーがHTTPSリクエストのディスクキャッシュを無効にする可能性は依然として高いままです。

第2に、HTTPSはすべてのリクエストに対して「ハンドシェイク」を必要とし、これにはある程度のオーバーヘッドが伴います。これはパフォーマンスに影響を与え、リクエストを大きくします(通常は数KBだけですが、すべてのリクエストのためであり、これが加算されます)。HTTP キープアライブはこれを制限できますが、非セキュアなコンテンツに必要のないオーバーヘッドです。


2
ここのすべてが本当です。しかし、私たちは約5年間完全なSSLウェブサイトを運営しており、ユーザーからの苦情は一度もありません。それらのほとんどは企業向けなので、IE6とIE7では最近、Firefoxで少数です。キャッシングはうまく機能しているように見えましたが、多くの画像に明示的なコンテンツ有効期限ルールを設定していたため、違いがあったかどうかはわかりません。
Mark Henderson

5
推測しないでください:テスト:-)。キャッシュが機能しているかどうかを確認する簡単な(ラフで100%完全ではない)方法の1つは、サーバーログでユーザーリクエストを確認することです。彼らはすべての画像/ファイルを要求していますか、それともキャッシュされていないコンテンツだけを要求していますか?個々のユーザーはレイテンシの悪い判断者ですが、集計するとミリ秒が表示される可能性があるため、速度が本当に許容範囲内であることを確認します。
John Mueller

10

完全なSSLの実行を計画している場合は、使用しているホストされたサードパーティのサービス(広告サーバー、分析、共有ツールなど)で利用可能なSSLバージョンを確認してください。そうしないと、一部のブラウザーで混合コンテンツの警告が表示されます。


5

もう一つの問題は、ということですすべてあなたからサーブ任意のページには、その後、実際には、サードパーティのリソースなど、SSLを経由する必要があります。これは、たとえばYouTubeなどの問題であることがわかりました。GoogleがSSL経由でYouTubeの動画を利用できるようにしないので、それはあなたが任意のYouTubeのビデオことを意味しませんが、サイトのページに埋め込みたい原因になります警告「このページは、安全かつ非セキュアコンテンツが含まれています」。これはほとんどのブラウザでは微妙ですが、IEの巨大なダイアログであり、一部のユーザーがサイトをすぐに放棄して、データを恐れて胸に抱え込んでしまう可能性があります。


2

成長についても考える必要があります。単一のWebサーバーを超えると、次のことを決定する必要があります。個々のサーバーでHTTPSを提供しますか。そうであれば、推奨されるのと同じ証明書またはサーバーごとの証明書を使用します。HTTPSサーバーは一般に機密情報の処理にのみ使用されるため、HTTPSサーバーの数が少なく、より多くのHTTPサーバーがトラフィックの大部分を受信する傾向があるため、より一般的なセットアップを見てきました。HTTPSを使用すると、各設定が少し複雑になります。覚えておくべきこと。


1

私が見ているように、サイト全体でHTTPSを使用しない唯一の理由は、サーバーの速度を低下させ、訪問者のブラウジングエクスペリエンスがわずかに遅くなることです。そうは言っても、メリットはあります。具体的には:

  1. 安全に保持したいデータをサイトのどのページにも配置することを心配する必要はありません。忘れられない。
  2. ユーザーはあなたのサイトが完全に暗号化されていることに気づき、あなたの情報を提供することでより安全に感じるかもしれません。
  3. ユーザーはあなたのウェブサイトがあなたの会社のものであり、引き継がれていないことを知っています。

開発者が暗号化されていないページに安全なデータを表示することを心配しないようにするだけでなく、すべてのページでHTTPSを使用する技術的な理由はありません。同じ理由で、そうしない理由はほとんどありません。


サイト全体でHTTPSを使用しない他の理由...ページはクライアント側で(理論的には)キャッシュされないため、より多くの帯域幅が使用されます。
MrWhite 2010

「サイトのどのページにも、安全を確保したいデータを置くことを心配する必要はありません。」-これがどれだけ本当かわからない。Googleは、デフォルトでこれらのページをインデックス_およびキャッシュ_(!)します。要求された場合、キャッシュされたバージョンをプレーンHTTPとして提供するように見えます。
MrWhite

0

最後に重要なこととして、いくつかの雇用主は、従業員が「暗号化された」httpsサイトを閲覧することを嫌っています。これは、防衛/セキュリティ会社および組織の場合です。そのため、「httpsのみ」のWebサイトを使用している場合、これらの訪問者/顧客の一部が失われる可能性があります。


これの証拠はありますか?この主張を支持する記事にリンクできますか?
Andrew Lott 2015

私はこのトピックで個人的な経験をしています。私は大規模な軍事に焦点を当てたWebサイトを運営しており、HTTPSのセットアップをテストしましたが、雇用主がネットワークからのhttpsサーフィンを許可していないため(銀行、ウィキペディア、その他のサイトへのアクセスも許可されていないため)、これはユーザーの大部分にとって問題になることがわかりましたhttpsは不可能です)。Googleがhttpsへの切り替えを強制されたときに、この問題への取り組み方について別のスレッドを立ち上げました-これは誰もが知っている問題ではありませんが、起こる可能性があり、人々はそれを考慮する必要があるかもしれません。
Radek

一部の監視ツールは、セキュリティ上の問題、機密性などを監視し、SSLの使用を禁止するために、これらのユーザーとWebサイトの間のプロキシまたは「中間者」のパケットの「コンテンツ」を監視する必要があることを自分に説明しますそのような監視。したがって、これらの企業ではhttpsは許可されていません(すべての企業で言うことはできませんが、明らかに少なくとも一部の企業ではそうです)
Radek
弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.