Was ist der Vorteil, wenn eine Site gezwungen wird, über SSL (HTTPS) zu laden?

Nehmen wir an, ich habe eine große Nur-Inhalt-Site. Kein Anmelden oder Abmelden, keine Benutzernamen, keine E-Mail-Adressen, kein sicherer Bereich, nichts Geheimnisvolles auf der Site, nada. Die Leute kommen einfach auf die Website und gehen von Seite zu Seite und schauen sich den Inhalt an.

Abgesehen von einer geringfügigen Beeinträchtigung der Suchmaschinenoptimierung durch Google ( sehr geringfügig, wie ich gelesen habe), hat es einen Vorteil, die Website zum Laden über HTTPS zu zwingen?

HTTPS bietet nicht nur Geheimhaltung (von der Sie den Wert bezweifeln, obwohl es noch gute Gründe dafür gibt), sondern auch Authentizität , die immer von Wert ist. Ohne diesen kann ein böswilliger Zugangspunkt / Router / ISP / etc. Sie können jeden Teil Ihrer Site neu schreiben, bevor Sie sie dem Benutzer anzeigen. Dies könnte Folgendes umfassen:

• Injizieren von Anzeigen für Ihre Mitbewerber
• Anzeigen oder ärgerliche Widgets einfügen, die Ihre Website schlecht aussehen lassen und Ihrem Ruf schaden
• Injizieren von Exploits, um Drive-by-Downloads von Malware auf den Computer des Besuchers durchzuführen. Dieser macht Sie dann (zu Recht!) dafür verantwortlich
• Ersetzen von Software-Downloads von Ihrer Website durch solche, die Malware enthalten
• Verringern Sie die Qualität Ihrer Bilder
• Entfernen von Teilen Ihrer Website, die Sie nicht sehen sollen, z. B. Dinge, die mit ihren eigenen Diensten konkurrieren, oder die Sie in einem schlechten Licht darstellen
• usw.

Das Versäumnis, Ihre Benutzer vor diesen Dingen zu schützen, ist unverantwortlich.

"nichts geheimes auf der Website"

... bis nach Ihnen . Es könnte einen guten Grund dafür geben, dass jemand eine sichere Verbindung wünscht. Es schafft (teilweise) Privatsphäre:

Mein Administrator kann sehen, dass ich über eine URL auf einer Bilderseite auf meinem Handy surfe, aber er kann nicht sagen, ob ich Bilder von süßen Katzen oder Hardcore-Pornos ansehe. Ich würde sagen, das ist verdammt gute Privatsphäre. "a content" und "the content" können den Unterschied in der Welt ausmachen. - Agent_L

Man könnte meinen, es sei unbedeutend, oder vielleicht ist es jetzt keine große Sache, aber es könnte sich um einen anderen Zeitpunkt handeln. Ich bin fest davon überzeugt, dass niemand außer mir und der Website genau wissen sollte, was ich tue.

Es schafft Vertrauen. Das Vorhängeschloss ist ein Zeichen der Sicherheit und kann ein gewisses Maß an Kompetenz in Bezug auf die Website und damit auf Ihre Produkte bedeuten.

Es macht Sie weniger zum Ziel für zB MitM-Angriffe. Sicherheit steigt.

Mit Initiativen wie Let's Encrypt , die es viel einfacher und kostenloser machen , gibt es nicht viele Nachteile. Die von SSL beanspruchte CPU-Leistung ist heutzutage vernachlässigbar.

Sie erhalten HTTP / 2- Unterstützung, den neuen Webstandard, der die Ladegeschwindigkeit von Websites erheblich verbessern soll .

Da Browser - Hersteller gewählt haben HTTP / 2 nur über HTTPS zu unterstützen, so dass HTTPS (auf einem Server, die HTTP / 2 unterstützt) ist die einzige Möglichkeit , dieses Geschwindigkeits - Upgrade zu erhalten.

(Teile aus meiner Antwort auf eine ähnliche Frage.)

HTTPS kann zwei Dinge erreichen:

• Authentifizierung . Stellen Sie sicher, dass der Besucher mit dem tatsächlichen Domaininhaber kommuniziert.
• Verschlüsselung . Stellen Sie sicher, dass nur dieser Domaininhaber und der Besucher ihre Kommunikation lesen können.

Wahrscheinlich sind sich alle einig, dass HTTPS bei der Übermittlung von Geheimnissen (wie Passwörtern, Bankdaten usw.) obligatorisch sein sollte. Aber auch wenn Ihre Site solche Geheimnisse nicht verarbeitet, gibt es mehrere andere Fälle, in denen und warum die Verwendung von HTTPS von Vorteil sein kann.

Angreifer können den angeforderten Inhalt nicht manipulieren.

Bei der Verwendung von HTTP können Abhörer den Inhalt manipulieren, den Ihre Besucher auf Ihrer Website sehen. Zum Beispiel:

• Einbeziehen von Malware in die Software, die Sie zum Download anbieten (oder wenn Sie keine Software-Downloads anbieten, beginnen die Angreifer damit).
• Einige Ihrer Inhalte zensieren. Ändern Sie Ihre Meinungsäußerungen.
• Injizieren von Werbung.
• Ersetzen Sie die Daten Ihres Spendenkontos durch ihre eigenen.

HTTPS kann dies verhindern.

Angreifer können den angeforderten Inhalt nicht lesen.

Bei Verwendung von HTTP können Abhörer erfahren, auf welche Seiten / Inhalte auf Ihrem Host Ihre Besucher zugreifen. Obwohl der Inhalt selbst öffentlich sein kann, kann das Wissen, dass eine bestimmte Person ihn konsumiert, problematisch sein:

• Es öffnet einen Angriffsvektor für Social Engineering .
• Es verletzt die Privatsphäre.
• Dies kann zu Überwachung und Bestrafung führen (bis hin zu Inhaftierung, Folter, Tod).

Dies hängt natürlich von der Art Ihres Inhalts ab, aber was für Sie als harmloser Inhalt erscheint, kann von anderen Parteien anders interpretiert werden.

Besser auf Nummer sicher gehen. HTTPS kann dies verhindern.

Es verhindert Man-in-the-Middle-Angriffe, die Sie denken lassen, dass Sie Ihre Website besuchen, aber eine Seite anzeigen, die tatsächlich von einer anderen stammt, und möglicherweise versuchen, Informationen von Ihnen abzurufen. Da die Daten verschlüsselt sind, wird es für einen Angreifer auch schwieriger, die Seite so zu manipulieren, wie Sie sie sehen.

Da Sie ein SSL-Zertifikat benötigen, das bestätigt, dass Sie der Eigentümer der Website sind, und mindestens eine Bestätigung gibt, wer Sie sind.

Marketingfirmen wie Hitwise zahlen ISPs, um Daten über Ihre Site zu sammeln, wenn Sie kein SSL verwenden. Es werden Daten über Ihre Website gesammelt, die Sie Ihren Konkurrenten möglicherweise nicht mitteilen möchten:

• Nutzerdemografie
• Besucherstatistik
• beliebte seiten
• Suchmaschinen-Schlüsselwörter (obwohl dies mit "nicht angegeben" heutzutage weniger problematisch ist)

Und um allen Antworten noch eine Sache hinzuzufügen, werde ich nur über Latenz sprechen . Es scheint, dass hier niemand darüber geschrieben hat.

Eine niedrige HTTP-Latenzzeit von Client zu Server ist für schnell ladende, reaktionsschnelle Websites von entscheidender Bedeutung.

TCP / IP allein verfügt über einen 3-Wege-Handshake (für den anfänglichen Verbindungsaufbau für einfaches HTTP über TCP sind 3 Pakete erforderlich). Wenn SSL / TLS verwendet wird, ist der Verbindungsaufbau aufwändiger, was bedeutet, dass die Latenz für neue HTTPS-Verbindungen unvermeidlich höher ist als für HTTP im Nur-Text-Format.

Das Problem mit HTTP ist, dass es nicht sicher ist. Wenn Sie also vertrauliche Daten haben, benötigen Sie eine Form der Sicherheit. Wenn Sie etwas in Ihren Webbrowser eingeben, das mit "https" beginnt, bitten Sie Ihren Browser, eine Verschlüsselungsebene zu verwenden, um den Datenverkehr zu schützen. Dies bietet einen angemessenen Schutz gegen Lauschangriffe, aber das Problem ist, dass es langsamer sein wird. Da wir unseren Datenverkehr verschlüsseln möchten, sind einige Berechnungen erforderlich, die die Zeit verlängern. Dies bedeutet, dass Ihre Website für Benutzer träge erscheint, wenn Sie Ihr System nicht richtig gestalten.

Schlussfolgern:

Ich habe eine große Nur-Inhalt-Site. Kein Anmelden oder Abmelden, keine Benutzernamen, keine E-Mail-Adressen, kein sicherer Bereich, nichts Geheimnisvolles auf der Site, nada. Die Leute kommen einfach auf die Website und gehen von Seite zu Seite und schauen sich den Inhalt an.

In diesem Fall verwende ich kein SSL. Ich möchte meine Seite haben, wenn Sie darauf klicken, dass sie in einer Sekunde geöffnet wird. Das kommt aus der Benutzererfahrung. Sie tun, was Sie wollen, ich lege einfach keine Zertifikate auf alles, was ich mache. In diesem speziellen Fall würde ich es überhaupt nicht verwenden.

Abgesehen von den Vorteilen, die von anderen erwähnt wurden, gibt es einen Grund, warum Sie auf SSL umsteigen, es sei denn, Ihre Besucher, die Chrome verwenden, interessieren Sie nicht - die neuen Versionen von Chrome (ab Ende des Jahres, soweit ich weiß) Standardmäßig wird für alle Sites, die kein HTTPS verwenden, eine Warnung angezeigt (die Benutzer von Ihrer Site vertreibt).

//BEARBEITEN:

Hier sind Links zu zwei detaillierteren Artikeln, von denen ich anscheinend keinen gefunden habe, über den ich gelesen habe, als sie die Funktion offiziell einführen wollen:

https://motherboard.vice.com/read/google-will-soon-shame-all-websites-that-uncrypted-chrome-https

http://www.pandasecurity.com/mediacenter/security/websites-that-arent-using-https/

Die einfache Antwort ist, dass es keinen guten Grund gibt, dies nicht zu tun . In der Vergangenheit gab es Argumente, SSL nur zu verwenden, wenn dies unbedingt erforderlich ist (z. B. auf E-Commerce-Websites, auf denen Zahlungsdetails erfasst werden).

Dies hing größtenteils mit dem Installationsverfahren für SSL-Zertifikate, den Kosten, der zusätzlichen Belastung des Webservers und den Netzwerkbeschränkungen zusammen - zu einer Zeit, als die Menschen kein Breitband usw. hatten. Keiner dieser Gründe traf im Jahr 2016 wirklich zu.

In Bezug auf SEO wissen wir, dass es das Ziel der meisten Suchmaschinen ist, die besten Ergebnisse für ihre Benutzer zu erzielen. Dies kann erreicht werden, indem ihnen eine sichere Verbindung zu der Site geboten wird, die sie gerade besuchen. In dieser Hinsicht ist es den Suchmaschinen egal, ob auf der Website "sensible" Daten vorhanden sind (die entweder angezeigt oder gesammelt werden). Wenn die Site über HTTPS bereitgestellt wird, werden potenzielle Risiken für Authentifizierung und Verschlüsselung erheblich minimiert, sodass die Site als "besser" als die entsprechende Site ohne HTTPS eingestuft wird.

Im Grunde ist es so einfach und unkompliziert zu implementieren, dass es heutzutage nur als Best Practice gilt. Als Webentwickler denke ich nur darüber nach, ein SSL-Zertifikat zu installieren und dann alle Anforderungen über HTTPS (sehr einfach mit .htaccess oder einem Äquivalent) zu erzwingen, um ein Standardbestandteil jeder von mir erstellten Site oder Webanwendung zu sein.

Zusätzlich zu den anderen Antworten sollten Browser (wie in RFC 2119) den User-AgentHeader senden . Es bietet genügend Informationen darüber, welche Plattform ein Benutzer verwendet, wenn er die aktuelle sendet User-Agent. Wenn Eve eine Anfrage von Alice abhören kann und Alice die aktuelle sendet User-Agent, weiß Eve, welche Plattform Alice verwendet, ohne dass Alice eine Verbindung zum Server von Eve herstellt. Mit solchem ​​Wissen wird es einfacher sein, sich in Alices Computer zu hacken.

Sie haben zwei Möglichkeiten, um Ihre Hauptdomain (mysite.com) und deren Unterdomains (play.mysite.com und test.mysite.com) zu sichern. SSL ist nicht nur für E-Commerce- und Zahlungshändler-Websites gedacht, auf denen Finanztransaktionen oder Anmeldeinformationen über die Website ausgetauscht werden. Dies ist ebenso wichtig für inhaltsbasierte Websites. Angreifer suchen immer nach einer einfachen HTTP-Website oder einer Lücke in der Website. SSL bietet nicht nur Sicherheit, sondern authentifiziert auch Ihre Website. Der Hauptvorteil von SSL auf inhaltsbasierten Websites besteht darin, dass

• Sie können Man-in-Middle-Angriffe vermeiden, die den Inhalt der Website verändern können.

• Außerdem verfügt Ihre Website über eine Authentizität, die den Besuchern mitteilt, dass ihre Informationen geschützt sind, wenn sie mit der Website geteilt werden.

• Sie erhalten Gewissheit über die Echtheit der Website.

• Darüber hinaus ist Ihre Website frei von schädlichen Werbeanzeigen, Exploits, unerwünschten Widgets, Softwareaustausch und Schäden an Webseiten, sobald Sie SSL auf Ihrer Website installiert haben.

• SSL-Zertifikat bietet statisches Site-Siegel, das zur Sicherheit auf jeder Webseite platziert werden kann, und Kunden können auf das Siegel klicken, um die Details des installierten SSL-Zertifikats zu erfahren.

Andere Antworten sprachen über die Vorteile von HTTPS. Wäre ein Benutzer gezwungen , HTTPS zu verwenden? Aus zwei Gründen:

• Wenn Sie Benutzern die Option geben, HTTPS nicht zu verwenden, wird dies wahrscheinlich nicht der Fall sein, zumal die meisten Browser standardmäßig http: // und nicht https: // verwenden, wenn Sie eine Domäne in die Adressleiste eingeben.
• Indem Sie sowohl eine sichere als auch eine unsichere Version implementieren, erhöhen Sie die Angriffsfläche der Verbindung. Sie geben Angreifern die Möglichkeit, einen Downgrade-Angriff durchzuführen , selbst wenn Sie der Meinung sind, dass Sie die sichere Version verwenden.
• Wenn Sie jede http: // -URL auf die entsprechende https: // -URL umleiten, wird dem Administrator des Servers und den Suchmaschinen das Leben erleichtert. Niemand muss sich Gedanken darüber machen, ob http: // und https: // gleichbedeutend sind oder auf ganz andere Dinge verweisen sollen. Durch die Umleitung der URLs wird jedem klar, welche URLs verwendet werden sollen.