SSL มีความสำคัญต่อเว็บไซต์ส่วนใหญ่หรือไม่

ฉันค่อนข้างหวาดระแวงเกี่ยวกับการเรียนรู้ที่จะ "รักษาความปลอดภัยที่ถูกต้อง" สำหรับเว็บไซต์นี้ฉันกำลังสร้าง (ไซต์ที่ไม่ได้ทำเรื่องไม่สำคัญครั้งแรกที่ฉันทำ) และฉันสังเกตเห็นสิ่งที่รบกวนฉัน: SSL

ฉันได้อ่านเธรดการรักษาความปลอดภัยมากมายที่นี่บน StackOverflow และที่อื่น ๆ ที่มีความยาวเกี่ยวกับการสร้างรหัสเซสชันหลังจากการใช้งาน n ครั้งและวิธีการที่รหัสผ่านของคุณจะต้องถูกใส่เกลือแฮชและไม่เคยเก็บไว้ในข้อความธรรมดา ฉันได้อ่านมากมายเกี่ยวกับวิธีการตรวจสอบเมื่อเซสชันถูกไฮแจ็กโดยการติดตามที่อยู่ IP ตัวแทนผู้ใช้และโดยใช้คุกกี้การติดตาม

สิ่งที่ฉันไม่เข้าใจคือสิ่งใดในเรื่องนี้เมื่อเว็บไซต์ล็อกอินคุณผ่าน HTTP POST ปกติและส่งรหัสผ่านของคุณผ่านสายเป็นข้อความธรรมดา?

ฉันเข้าใจว่าวิธีการอื่น ๆ ที่ฉันระบุไว้นั้นเป็นสิ่งจำเป็นเพื่อลดการเปิดเผยโดยรวมของคุณและอาจมีบางเว็บไซต์ที่ไม่ต้องการความปลอดภัยขนาดนั้นอีกต่อไป แต่ฉันเดาว่าสิ่งที่ฉันถามคือ:

• เมื่อไรที่จะไม่ยุ่งกับ SSL?

เว็บไซต์อย่าง Gmail ธนาคารของคุณและ LinkedIn ฉันเห็นว่ามีเหตุผลที่จะใช้ SSL แต่สิ่งที่ทำให้มันเป็นไรที่ไซต์เช่น Facebook และ reddit ไม่ต้องกังวล (นรก, PlentyOfFish ยังเก็บรหัสผ่านของคุณเป็นข้อความธรรมดาและแม้กระทั่งอีเมล ถึงคุณทุกสัปดาห์เพื่อเป็นการเตือน!?!)?

ฉันควรกังวลเกี่ยวกับการตั้งค่า SSL อย่างไร (โดยเฉพาะอย่างยิ่งตั้งแต่ฉันเริ่มต้นด้วยโฮสต์ที่ใช้ร่วมกันและฉันเริ่มถูกแล้ว) เว็บไซต์ของฉันจะไม่เก็บข้อมูลส่วนบุคคลใด ๆ โดยเฉพาะหากสิ่งนั้นช่วยได้ หากไซต์ประสบความสำเร็จฉันจะพิจารณาจ่ายเงินพิเศษเพื่อความปลอดภัยที่เพิ่มขึ้นอย่างจริงจัง

มันสำคัญมากสำหรับคุณและผู้ใช้ของคุณคิดว่ามันสำคัญ การส่งรหัสผ่านบน http เป็นข้อความธรรมดาทำให้พวกเขาเสี่ยงต่อการสูดดมแพ็คเก็ต ตอนนี้ไม่ว่าจะมีใครบางคนรำคาญที่จะดมกลิ่นแพ็คเก็ตเหล่านั้นเป็นเรื่องอื่นทั้งหมด หากคุณต้องการให้แน่ใจว่าผู้ใช้ของคุณได้รับประสบการณ์ที่ปลอดภัยที่สุดให้ใช้ SSL สำหรับการส่งข้อมูลเข้าสู่ระบบ หากคุณคิดว่าผู้ใช้ของคุณจะมีความสุขและมีแนวโน้มที่จะโต้ตอบกับเว็บไซต์ของคุณในทางบวก (เช่นซื้อสิ่งของทำสิ่งของ ฯลฯ ) จากนั้นใช้ SSL สำหรับการส่งข้อมูลเข้าสู่ระบบ หากคุณมีสิ่งที่ควรค่าแก่การขโมย (เช่นข้อมูลผู้ใช้) ให้ใช้ SSL

หากคุณไม่มีสิ่งใดที่คุ้มค่ากับการขโมยอย่าคิดว่า SSL จะช่วยเพิ่มความปลอดภัยได้ไม่ว่าจะด้วยวิธีใดก็ตามมิฉะนั้นผู้ใช้ของคุณจะไม่เห็นว่ามันเป็นคุณสมบัติที่มีประโยชน์คุณอาจต้องการพิจารณาไม่ใช้ SSL

สำหรับค่าใช้จ่ายในการติดตั้งใบรับรอง SSL นอกเสียจากว่าคุณจะอยู่ในงบประมาณเชือกผูกรองเท้าก็ไม่เลวเลยที่จะปลอดภัยในการเข้าสู่ระบบของเว็บไซต์ และอย่าปล่อยให้สิ่งที่เว็บไซต์อื่น ๆ ทำมีอิทธิพลต่อคุณเนื่องจากเว็บไซต์ขนาดใหญ่จำนวนมากไม่จำเป็นต้องปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดซึ่งเป็นสาเหตุที่ทำให้ดูเหมือนมีกระแสข่าวเกี่ยวกับเว็บไซต์ที่ถูกบุกรุกในบางด้าน

การใช้วิธีตรงกันข้ามกับคำตอบของจอห์นฉันคิดว่าคุณควรพิจารณาอย่างจริงจัง SSL ถ้าคุณจัดการใด ๆข้อมูลส่วนบุคคลที่สามารถระบุตัวตน - รวมถึงชื่อที่มีที่อยู่ทางกายภาพที่อยู่อีเมลข้อมูลทางการเงินและการสื่อสารที่ผู้ใช้สมควรคาดว่าจะเป็นแบบส่วนตัว .

หากเว็บไซต์ของคุณไม่มีวิธีการให้ผู้ใช้เผยแพร่ข้อมูลเกี่ยวกับตัวเองคุณควรพิจารณาข้อมูลที่สามารถระบุตัวบุคคลที่ผู้ใช้ของคุณจัดขึ้นเพื่อคุณและคุณจะต้องอยู่ภายใต้ความมั่นใจอย่างเข้มงวดเว้นแต่นโยบายความเป็นส่วนตัวของเว็บไซต์จะแจ้งผู้ใช้ของคุณ

ป้องกันบุคคลที่สามที่ไม่ได้รับอนุญาตไม่ให้เห็นข้อมูลของผู้เยี่ยมชมและแจ้งให้ผู้ใช้ทราบถึงวิธีการใช้ข้อมูลของพวกเขาเพื่อรักษาความไว้วางใจของผู้เข้าชม

แม้แต่ Facebook ก็ทำเช่นนี้เท่าที่ฉันสามารถบอกได้

<form method="POST" action="https://login.facebook.com/login.php?login_attempt=1" id="login_form" onsubmit=";var d=document.documentElement;if (d.onsubmit) { return d.onsubmit(event); }else { return Event.fire(d, &quot;submit&quot;, event); }">

(ที่มา Facebook.com HTML เข้าสู่ระบบแหล่งที่มา)

ตั้งแต่เดือนสิงหาคม 2014 Google ได้ระบุอย่างเป็นทางการว่าจะใช้ HTTPS เป็นสัญญาณการจัดอันดับ

ซึ่งหมายความว่าแม้ว่าเว็บไซต์ของคุณจะเป็นเว็บไซต์ที่สมบูรณ์ แต่ถ้าคุณสนใจ SEO คุณควรพิจารณาตั้งค่าใบรับรอง SSL เป็นอย่างน้อย

แน่นอน HTTPS เป็นเพียงการจัดอันดับสัญญาณเดียวจากหลายร้อยดังนั้นอาจมีสิ่งที่สำคัญกว่าที่คุณสามารถทำได้สำหรับ SEO

นี่คือมุมที่คุณอาจไม่ได้พิจารณา: การไม่ใช้ SSL / TLS สามารถทำให้ผู้ใช้ของคุณได้รับการตรวจสอบแบบพาสซีฟแม้ว่าไซต์ของคุณจะไม่มีการลงชื่อเข้าใช้ก็ตาม

นักแสดงภัยคุกคามอาจนั่งระหว่างผู้ใช้ของคุณกับอินเทอร์เน็ตที่เหลือดู URL ทั้งหมดที่ผู้ใช้ร้องขอและรูปแบบการสร้างสิ่งที่ผู้ใช้กำลังดูอยู่ บิตของข้อมูลแต่ละอันอาจไม่มีนัยสำคัญในการแยก แต่การรวมข้อมูลจำนวนเล็กน้อยจำนวนมากสามารถสร้างภาพที่ใหญ่กว่ามาก

ด้วยเหตุนี้ฉันจึงเสนอ HTTPS ในเว็บไซต์ของฉันเองซึ่งมีเฉพาะเนื้อหาแบบคงที่