Estou trabalhando em um site bastante padrão com conteúdo público e conteúdo pessoal / personalizado para usuários registrados. Sei que preciso usar HTTPS quando os usuários estiverem fazendo login ou enviando detalhes do cartão de crédito. Existe uma razão para eu não usar apenas HTTPS em todo o site?
Respostas:
Sim, há um motivo para você não usá-lo em todo o site. Alguns navegadores (dependendo da marca e versão) não armazenam em cache o conteúdo das solicitações HTTPS no disco, o que pode atrasar seriamente a experiência de navegação dos usuários, pois os recursos estáticos serão carregados com todas as solicitações de página (folhas de estilo, javascript, imagens de cabeçalho etc.) . Por exemplo, a Mozilla afirma que:
"O cache do disco salva cópias dos arquivos baixados no disco rígido para que eles não precisem ser baixados para serem exibidos novamente. Essas páginas podem ser visualizadas por qualquer pessoa com permissão para a pasta do cache. As páginas transmitidas com a criptografia SSL geralmente contêm informações confidenciais e o armazenamento em cache dessas páginas no disco pode representar um risco à privacidade. Essa preferência controla se o cache deve ser feito em páginas do disco que foram transmitidas com criptografia SSL. "
Como navegadores individuais armazenam em cache o HTTPS é um pouco contestado, mas ainda existe uma boa chance de que muitos usuários tenham o cache de disco desativado para solicitações de HTTPS.
Em segundo lugar, o HTTPS requer um " handshake " para cada solicitação, e isso vem com alguma sobrecarga, o que afetará o desempenho e aumentará as solicitações (normalmente apenas com alguns KB - mas é para todas as solicitações e isso aumenta). O HTTP KeepAlive pode limitar isso, mas ainda é uma sobrecarga que você não precisa para conteúdo não seguro.
Se você planeja executar o SSL completo, verifique se todos os serviços de terceiros hospedados que você está usando (servidor de anúncios, análises, ferramentas de compartilhamento etc.) têm versões SSL disponíveis ou você recebe avisos de conteúdo variados em alguns navegadores.
Outro problema é que tudo o que você serve a partir de qualquer página realmente precisa passar por SSL, incluindo recursos de terceiros. Descobrimos que esse é um problema real com algo como o YouTube, por exemplo. Desde que o Google não faz vídeos do YouTube disponível via SSL, isso significa que qualquer vídeo do YouTube que você fazer deseja incorporar em uma página em seu site fará com que a "Esta página contém segura e não segura de conteúdo" aviso. Embora isso seja sutil na maioria dos navegadores, é uma grande caixa de diálogo no IE e pode fazer com que alguns usuários abandonem seu site rapidamente, segurando os dados no peito com medo.
Você também deve pensar em crescimento. Depois de ter mais de um único servidor da web, você terá que decidir: Deseja fornecer HTTPS em cada servidor individual e, nesse caso, estará usando o mesmo certificado ou certificado por servidor, como é frequentemente recomendado. Vi configurações mais comuns em que há menos servidores HTTPS, pois geralmente são usados apenas para o processamento de detalhes confidenciais e mais servidores HTTP, pois esses tendem a receber a maior parte do tráfego. O HTTPS adiciona um pouco mais de complexidade a cada uma das suas configurações. Apenas algo para ter em mente.
A meu ver, o único motivo para não usar HTTPS em todo o site é que isso atrasará seu servidor e os visitantes terão uma experiência de navegação um pouco mais lenta. Dito isto, há benefícios. Especificamente:
Além de tornar mais fácil para seus desenvolvedores não se preocuparem em mostrar dados seguros em uma página não criptografada, não há realmente nenhum motivo técnico para usar HTTPS em todas as páginas. Pelo mesmo raciocínio, há muito pouco motivo para não fazê-lo.
Por último, mas não menos importante, vários empregadores não gostam que seus funcionários navegem em sites https "criptografados". Esse é o caso das empresas e organizações de defesa / segurança; portanto, se você tiver um site "apenas https", poderá perder alguns desses visitantes / clientes, porque a rede deles simplesmente não permitirá que eles naveguem em seu site.