https מה החסרונות?
 

היי,
אני מעוניין שהאתר שאני מפתח יהיה עם SSL.
אני רוצה לעשות לעצמי רשימת חסרונות לעניין הזה, אשמח אם תוסיפו לי כאלה.
כמובן שכתובת עם https היא איטית יותר אבל האם יש חסרונות משמעותיים נוספים?

אני מתלבט אם כל האתר יהיה עם https או רק הטפסים הרלוונטיים.

תודה.

כדאי שתריץ בגוגל שאילתות כמו http vs https ו- https cons.
חבל להשקיע זמן ולכתוב דברים שכבר קיימים בצורה מפורטת ומצויינת.

כמעט ואין חסרונות
https משתמש בפרוטוקול UDP שמוודא כל חבילה שהתקבלה לעומת TCP שלא מוודה שאתה קיבלת את הנתונים הנכוכים { ככה נקרא לזה בשפה פשוטה שתבין את המשמעות }
לגבי מהירות. זה תלוי כבר בסוג התעודה

מבחינת SEO, עליך להחליט אם כל האתר יהיה ב-HTTPS או רק חלק ממנו.
בכל אופן, עליך להחליט על גרסה אחת של URLים אותה תציג למנועי חיפוש.
אם מסיבה כלשהי אתה משתמש בשני סוגי ה-URLים, עליך להפנות את ה-URL המשני אל הגרסה הקנונית שלו באמצעות שימוש בתג קנוניקל.
אם תחליט שכל גרסאות ה-HTTPS אינן צריכות להימצא באינדקס של גוגל אתה יכול לחסום בעזרת קובץ robots.txt, תגית noindex וגם שימוש בתגית Nofollow (כי העמוד עדיין יכול לקבל קישורים ממקור חיצוני ובכך לגרום לו להתאנדקס)

HTTPS עובד עם TCP, בדיוק כמו HTTP.
TCP כן מבצע אימות (three-way handshake), זה UDP שלא מבצע אימות.
להגיד שאין חסרונות זאת טעות - ככלל תקשורת על גבי HTTPS תהיה איטית יותר מאשר תקשורת על גבי HTTP (בד"כ ההבדל הוא מינורי).
זה נובע מההבדל העיקרי שהוא הצפנה, המידע מוצפן לפני שהוא יוצא לרשת ולכן הצד שולח צריך להצפין את המידע והצד המקבל צריך לפענח אותו, יש גם את עניין החלפת המפתחות ותהליכים נוספים שהופכים את התקשורת לקצת יותר איטית ומורכבת.

אני אחזור לתגובה הראשונה שלי -
חפש בגוגל, כנראה שתמצא מידע מדוייק ומפורט יותר מאשר מה שתקבל כאן.

מצד שרת https = cpu time.

לא נכון.

HTTPS עובד בTCP.
אין קשר בין מהירות האתר תחת HTTPS לבין סוג התעודה.

http://500motivators.com/plog-conten...not-enough.jpg

דפדפן פותח בין 4 ל-8 חיבורים לשרת פר דומיין, ה-SSL NEGOTIATION (יצירת הפקה פקה המאובטח בין הדפדפן לשרת) אורך כחצי שנייה בממוצע פר חיבור, החיבורים נעשים במקביל
(זה מושפע מ-LATENCY, יש/אין כרטיס הצפנה, עומס על המעבד וכו').

לשאלתך, מבחינת מהירות אתר, כל דף "יתעכב" בחצי שנייה-שנייה בגלל ה-HTTPS,
השאלה היא אם אתה חייב SSL? אתה גובה תשלום/עוסק בפרטים רגישים?

כן זה ידעתי, תודה.


האם יש הבדלים משמעותיים במהירות בין 128 ל-256?



בדיוק עלית על שורש השאלה שלי, כנראה שלא ניסחתי אותה מספיק טוב.
אני מצד אחד גובה תשלומים בעמודים יעודיים לכך ולא בכל עמוד, אבל מצד שני אני רוצה שהאתר יראה על בטיחות בכל חלקי האתר. תצאו מנקודת הנחה שלא כל גולש בקיא כמוכם באינטרנט וזה נראה לי יוסיף לו ביטחון בגלישה באתר. באתר עצמו דרך אגב הוא מזין פרטים כגון טלפון, כתובת וכו' שאולי הוא לא ירצה לחשוף לתוכנה צד ג'.

פשוט לפני שאני משתמש ב-HTTPS לכל האתר, תוך ידיעה שזה יגזול כחצי שניה (לדעתי פחות, אבל עשיתי בדיקות על גולש אחד בו זמנית....) מזמן השליחה של השרת, רציתי לראות אם יש עוד חסרונות מהותיים שלא הכרתי.

תודה לכולם!

אומנם אולי רק חלקית קשור לדיון, אבל אתמול קיבלתי את ההודעה הזאת כשנסנתי לעמוד בבנק הפועלים:
https://fbcdn-sphotos-e-a.akamaihd.n...70019603_n.jpg

אני לא רוצה להתכב על כך שניסוח של ההודעה שגוי (הם כותבים עדכון מערכת הפעלה כאשר בפועל הם רוצים עדכון דפדפן), אבל יש פה נקודה שהם מנסים לטפל בה.
הניסיון שלי עם SSL לא יותר מדיי גדול, אבל עושה רושם שדפדפנים ישנים לא מתמודדים יפה עם תעודות חדשות לפעמים.

עושה רושם שאת המידע העיקרי והמהותי קיבלת.
מכאן והלאה אתה צריך לעשות את השיקולים הספציפיים שלך - עד כמה ואיפה זה נחוץ מבחינת המידע המועבר ברשת, כמה משאבים נוספים זה יצרוך, האם ואיפה כדאי להוסיף את זה "לתחושת ביטחון בגלישה" להגדרך וכד'.
אם אתה רוצה ללכת על הטוב ביותר ומדובר בפרוייקט רציני, אולי כדאי גם להתייעץ באיש מקצוע.

דף נחמד שעלה לי אתמול באחד ה- RSSים שאני מנוי אליהם די רלוונטי לדיון גם כן - http://www.moserware.com/2009/06/fir...-of-https.html

בהצלחה.

בתור אחד שכל כמה ימים מנסה להסביר ללקוחות מה ההבדל בין מערכת ההפעלה לדפדפן... כנראה שהם פונים לקהל הרחב שלא מבין בתחום.
הנה ההודעה הכללית שלהם:
https://www.bankhapoalim.co.il/wps/p...xt=0&proceed=1

התקן דורש שהזנת פרטי התשלום תתבצע בעמוד מאובטח, אין שום סיבה לחרוג מהתקן ולהעביר את כל הגלישה בצורה מאובטחת, אלא אם אתה משוגע על האצת אתרים (אותו הקובץ ב-HTTP/HTTPS יירד פעמיים, Cache-Control לא יעבוד) או שאתה דואג ללקוחות שלך שגולשים ב-WIFI.

לגבי ביצועי SSL, כתבתי על ניסוי קטן בבלוג שלי מה ההבדל בין גולש 1, ל-100 ול-250 ב-HTTP/HTTPS, שים לב שאם אתה מעביר את כל האתר ב-SSL ומדובר באתר עם מעל 10000 כניסות ביום, ייתכן שה-SSL יעמיס על המערכת.

אבי.

אחלה תשובה, תודה!

לגבי דפדפנים ישנים - לכל יישות המנפיקה תעודות (Certification Authority או CA) יש מה שנקרא ROOT CERTIFICATE, אלו תעודות שחלקן מגיע מראש עם הדפדפן מטעם יצרנית הדפדפן, תעודות שהדפדפן "מכיר".

הוא משתמש במי מהתעודות האלה כדי לבצע אימות ראשוני של התעודה שאתה מציג בשרת שלך (בשפה פשוטה. בתכלס הוא בעצם הPUBLIC KEY שמשמש לפענח את התעודה שאתה מוסר לדפדפן), ורק לאחר מכן מתבצעת בדיקה (אם הוגדרה) לגבי האם בוצע לתעודה הנוכחית בה אתה משתמש "REVOKE".

דפדפנים ישנים עשויים שלא להכיר את הROOT CERTIFICATES העדכניים ביותר שנמצאים בשימוש היום, אשר יכול להיות שאחד מהם משמש כrc לתעודה של בנק הפועלים.





לגבי הדיון - שורה תחתונה עדיף להשתמש בHTTPS רק איפה שיש צורך. בדגש על דפים בהם המשתמש מזין פרטים אישיים שלו (עדכון פרופיל/כתובת למשלוח/פרטי כ.א. מן


בהצלחה!הסתם) וככלל, אם מדובר בססמא - בצע HASHינג בצד הלקוח. הכי טוב שיש :)

תיקון לגביי התגובה שלי
http & htttps שניהם TCP
אומנם HTTP זה פורט 80
ו HTTPS זה פורט 443
היתרון ב HTTPS מול HTTP הינה הצפנת המידע
המונע session hijacking ב 100%

כתבתי בבלוג שלי על השוואת זמני טעינה בין HTTP ל-HTTPS