Buone pratiche o cattive pratiche per forzare l'intero sito su HTTPS?

Question

Ho un sito che funziona molto bene quando tutto è in HTTPS (autenticazione, servizi web, ecc.). Se mischio http e https richiede più codice (problemi tra domini).

Non mi sembra di vedere molti siti Web interamente in HTTPS, quindi mi chiedevo se fosse una cattiva idea andare in questa direzione in questo modo?

Edit: sito è quello di essere ospitato su Azure il cloud in cui larghezza di banda e l'utilizzo della CPU potrebbe essere un problema ...

Answer 1

Se non si hanno effetti collaterali, per il momento si sta probabilmente bene e si può essere felici di non creare lavoro dove non è necessario.

Tuttavia, vi sono pochi motivi per crittografare tutto il traffico. Sicuramente credenziali di accesso o altri dati sensibili. Una delle cose principali che potresti perdere è il caching a valle. I tuoi server, gli ISP e gli utenti intermedi non possono memorizzare nella cache l'https. Questo potrebbe non essere del tutto pertinente in quanto si legge che stai solo fornendo servizi. Tuttavia, dipende completamente dalla configurazione e dal fatto che vi siano opportunità per la memorizzazione nella cache e se le prestazioni rappresentano un problema.

Answer 2

HTTPS diminuisce il throughput del server quindi potrebbe essere una cattiva idea se l'hardware non può far fronte con essa. Potresti trovare this post useful. Questo documento (accademico) discute anche the overhead of HTTPS.

Answer 3

si perde un sacco di funzioni con https (principalmente legati alla performance)

• proxy possono non le pagine della cache
• non è possibile utilizzare un proxy inverso per il miglioramento delle prestazioni
• Non è possibile ospitare più domini sul stesso indirizzo IP
• Ovviamente, la crittografia consuma CPU

forse è per non problema per voi, dipende in realtà dai requisiti

Answer 4

Se si hanno richieste HTTP provenienti da una pagina HTTPS si forza l'utente a confermare il caricamento di dati non sicuri. Fastidioso su alcuni siti Web che uso.

Answer 5

Odio imbattersi in inutilmente tutti i siti https che gestiscono nulla che richiede realmente la crittografia. Soprattutto perché sembrano tutti 10 volte più lenti di ogni altro sito che visito. Come la maggior parte delle pagine di documentazione su developer.mozilla.org ti costringerà a vederlo con https, senza alcun motivo, e richiede sempre molto tempo per essere caricato.

Answer 6

È consigliabile utilizzare all-HTTPS o almeno fornire agli utenti esperti l'opzione per all-HTTPS.

Se alcuni casi in cui HTTPS è completamente inutile e in quei casi si riscontra un peggioramento delle prestazioni, solo in tal caso si predefinirà o si autorizzerà il non-HTTPS.