Good Practice oder schlechte Übung, um die gesamte Site auf HTTPS zu erzwingen?

Question

Ich habe eine Website, die sehr gut funktioniert, wenn alles in HTTPS (Authentifizierung, Webdienste usw.) ist. Wenn ich http und https mische, erfordert es mehr Codierung (domänenübergreifende Probleme).

Ich sehe nicht viele Websites, die vollständig in HTTPS sind, also habe ich mich gefragt, ob es eine schlechte Idee war, auf diese Weise zu gehen?

bearbeiten: Site ist auf Azure Cloud gehostet werden, in denen Bandbreite und CPU-Auslastung könnte ein Problem sein ...

Answer 1

Wenn Sie keine Nebenwirkungen haben, dann sind Sie wahrscheinlich in Ordnung und vielleicht glücklich, keine Arbeit zu schaffen, wo es nicht benötigt wird.

Es gibt jedoch wenig Grund, all Ihren Datenverkehr zu verschlüsseln. Sicherlich Anmeldeinformationen oder andere sensible Daten tun. Eines der wichtigsten Dinge, die Sie verlieren würden, ist Downstream-Caching. Ihre Server, die zwischengeschalteten ISPs und Benutzer können die https nicht zwischenspeichern. Dies ist möglicherweise nicht vollständig relevant, da es heißt, dass Sie nur Dienste bereitstellen. Es hängt jedoch vollständig von Ihrer Konfiguration ab und davon, ob eine Zwischenspeicherung möglich ist und ob die Leistung überhaupt ein Problem darstellt.

Answer 2

HTTPS verringert Server Durchsatz so kann eine schlechte Idee, wenn Ihre Hardware nicht mit ihm fertig wird. Sie könnten this post useful finden. Dieses Papier (akademisch) diskutiert auch the overhead of HTTPS.

Answer 3

verlieren Sie eine Menge Features mit https (vor allem leistungsbezogen)

• Proxies können nicht Cache-Seiten
• Sie können nicht einen Reverse-Proxy zur Leistungsverbesserung
• Sie können mehrere Domains auf die nicht Host gleiche IP-Adresse
• Offensichtlich verbraucht die Verschlüsselung CPU

Vielleicht Neins Problem für Sie, aber es hängt wirklich von den Anforderungen

Answer 4

Wenn Sie HTTP-Anforderungen von einer HTTPS-Seite kommen, zwingen Sie den Benutzer das Laden von unsicheren Daten zu bestätigen. Nervig auf einigen Websites, die ich benutze.

Answer 5

Ich hasse es, in sinnlos alle-https-Sites, die nichts behandeln, die wirklich Verschlüsselung erfordert. Hauptsächlich weil sie alle 10x langsamer sind als jede andere Seite, die ich besuche. Wie die meisten Dokumentationsseiten auf developer.mozilla.org werden Sie gezwungen, es mit https zu betrachten, ohne Grund, und es dauert immer lange, es zu laden.

Answer 6

Es ist eine gute Idee, all-HTTPS zu verwenden - oder zumindest erfahrenen Benutzern die Option für alle HTTPS bereitzustellen.

Wenn es Fälle gibt, in denen HTTPS völlig nutzlos ist und Sie in diesen Fällen feststellen, dass die Leistung beeinträchtigt ist, dann würden Sie standardmäßig nicht HTTPS zulassen oder zulassen.