Login-Formular ohne ssl

Question

Es gibt zahlreiche Stackoverflow-Antworten, die besagen, dass Sie Ihr Login-Formular niemals auf eine HTTP-Seite stellen sollten, sondern immer HTTPS verwenden. Aber ich sehe viele große Websites, wie zum Beispiel The New York Times. Ist es in Ordnung, dies zu tun, wenn ich absolut keine wertvollen Informationen auf meiner Website habe? Es gibt keine Transaktionen und keine privaten Informationen. Es entspricht einem Blog oder einer Nachrichten-Website. Ich würde wirklich gerne Benutzer mit einer Box auf der Titelseite wie The New York Times anmelden.

Answer 1

Nein, es ist nicht ok.

Wenn die Benutzer das gleiche Passwort erneut verwenden, dann kann es Kompromisse wichtige Konten

Da es unsicher ist, Firefox warnt in dem Konsolenprotokoll, dass es nicht sicher ist.

Wenn Sie auf Ihrer Startseite einen Login wünschen, warum nicht einfach überall https verwenden? Es ist einfacher zu konfigurieren und schneller (mit spdy/http2) als http, und Sie sind sicher, dass niemand Werbung in Ihre Website einfügen (einige ISP tun, als auf http ...)

Und ein Login/Passwort ist ein Persönliche Angaben. In den meisten Ländern, wie in Europa, haben Sie eine Schutzpflicht.

Über die New York Times, ja, sie verwenden http, aber es ist schwieriger für eine große Website zu migrieren. Aber ja, sie sollten https verwenden.

Beachten Sie, dass https allein nicht ausreicht: Ihre Website ist möglicherweise immer noch anfällig für SSlstrip-Angriffe. Wenn Sie nach Passwörtern oder persönlichen Informationen fragen, sollten Sie HSTS als einzigen Schutz gegen diesen Angriff verwenden. (Es wird die https-Verbindung erzwingen, aber dafür müssen Sie https für die gesamte Domäne aktivieren)