https מה החסרונות?

[אדיר]

עושה רושם שאת המידע העיקרי והמהותי קיבלת.
מכאן והלאה אתה צריך לעשות את השיקולים הספציפיים שלך - עד כמה ואיפה זה נחוץ מבחינת המידע המועבר ברשת, כמה משאבים נוספים זה יצרוך, האם ואיפה כדאי להוסיף את זה "לתחושת ביטחון בגלישה" להגדרך וכד'.
אם אתה רוצה ללכת על הטוב ביותר ומדובר בפרוייקט רציני, אולי כדאי גם להתייעץ באיש מקצוע.

דף נחמד שעלה לי אתמול באחד ה- RSSים שאני מנוי אליהם די רלוונטי לדיון גם כן - http://www.moserware.com/2009/06/fir...-of-https.html

בהצלחה.

[solcito]

בתור אחד שכל כמה ימים מנסה להסביר ללקוחות מה ההבדל בין מערכת ההפעלה לדפדפן... כנראה שהם פונים לקהל הרחב שלא מבין בתחום.
הנה ההודעה הכללית שלהם:
https://www.bankhapoalim.co.il/wps/p...xt=0&proceed=1

[Kernel]

נכתב במקור על ידי solcito

בדיוק עלית על שורש השאלה שלי, כנראה שלא ניסחתי אותה מספיק טוב.
אני מצד אחד גובה תשלומים בעמודים יעודיים לכך ולא בכל עמוד, אבל מצד שני אני רוצה שהאתר יראה על בטיחות בכל חלקי האתר. תצאו מנקודת הנחה שלא כל גולש בקיא כמוכם באינטרנט וזה נראה לי יוסיף לו ביטחון בגלישה באתר. באתר עצמו דרך אגב הוא מזין פרטים כגון טלפון, כתובת וכו' שאולי הוא לא ירצה לחשוף לתוכנה צד ג'.

פשוט לפני שאני משתמש ב-HTTPS לכל האתר, תוך ידיעה שזה יגזול כחצי שניה (לדעתי פחות, אבל עשיתי בדיקות על גולש אחד בו זמנית....) מזמן השליחה של השרת, רציתי לראות אם יש עוד חסרונות מהותיים שלא הכרתי.

התקן דורש שהזנת פרטי התשלום תתבצע בעמוד מאובטח, אין שום סיבה לחרוג מהתקן ולהעביר את כל הגלישה בצורה מאובטחת, אלא אם אתה משוגע על האצת אתרים (אותו הקובץ ב-HTTP/HTTPS יירד פעמיים, Cache-Control לא יעבוד) או שאתה דואג ללקוחות שלך שגולשים ב-WIFI.

לגבי ביצועי SSL, כתבתי על ניסוי קטן בבלוג שלי מה ההבדל בין גולש 1, ל-100 ול-250 ב-HTTP/HTTPS, שים לב שאם אתה מעביר את כל האתר ב-SSL ומדובר באתר עם מעל 10000 כניסות ביום, ייתכן שה-SSL יעמיס על המערכת.

אבי.

[solcito]

אחלה תשובה, תודה!

[OrPol]

נכתב במקור על ידי IgalSt

אומנם אולי רק חלקית קשור לדיון, אבל אתמול קיבלתי את ההודעה הזאת כשנסנתי לעמוד בבנק הפועלים:


אני לא רוצה להתכב על כך שניסוח של ההודעה שגוי (הם כותבים עדכון מערכת הפעלה כאשר בפועל הם רוצים עדכון דפדפן), אבל יש פה נקודה שהם מנסים לטפל בה.
הניסיון שלי עם SSL לא יותר מדיי גדול, אבל עושה רושם שדפדפנים ישנים לא מתמודדים יפה עם תעודות חדשות לפעמים.

לגבי דפדפנים ישנים - לכל יישות המנפיקה תעודות (Certification Authority או CA) יש מה שנקרא ROOT CERTIFICATE, אלו תעודות שחלקן מגיע מראש עם הדפדפן מטעם יצרנית הדפדפן, תעודות שהדפדפן "מכיר".

הוא משתמש במי מהתעודות האלה כדי לבצע אימות ראשוני של התעודה שאתה מציג בשרת שלך (בשפה פשוטה. בתכלס הוא בעצם הPUBLIC KEY שמשמש לפענח את התעודה שאתה מוסר לדפדפן), ורק לאחר מכן מתבצעת בדיקה (אם הוגדרה) לגבי האם בוצע לתעודה הנוכחית בה אתה משתמש "REVOKE".

דפדפנים ישנים עשויים שלא להכיר את הROOT CERTIFICATES העדכניים ביותר שנמצאים בשימוש היום, אשר יכול להיות שאחד מהם משמש כrc לתעודה של בנק הפועלים.





לגבי הדיון - שורה תחתונה עדיף להשתמש בHTTPS רק איפה שיש צורך. בדגש על דפים בהם המשתמש מזין פרטים אישיים שלו (עדכון פרופיל/כתובת למשלוח/פרטי כ.א. מן


בהצלחה!הסתם) וככלל, אם מדובר בססמא - בצע HASHינג בצד הלקוח. הכי טוב שיש

[MyDns]

תיקון לגביי התגובה שלי
http & htttps שניהם TCP
אומנם HTTP זה פורט 80
ו HTTPS זה פורט 443
היתרון ב HTTPS מול HTTP הינה הצפנת המידע
המונע session hijacking ב 100%

[Kernel]

כתבתי בבלוג שלי על השוואת זמני טעינה בין HTTP ל-HTTPS