Como fizemos com a implementação relacionada aos TOR, onde eles nós perguntamos o que pensavam, pedíamos ideias ou sugestões e, no final, chegamos a um resultar intermediário que foi aprovado pela maioria de vocês, aqui fazemos o mesmo com nossa implementação HTTPS, pedimos sua opinião sobre isso.
Como muitos devem ter lido em sites, o Google (quem, para melhor ou para pior, dita o que se refere a SEO) anunciou que eu ia levar em consideração a implementação ou não de HTTPS nos sites ao dar-lhes uma avaliação, isso vai influenciar o PageRank no futuro (não duvide), embora agora digam que será apenas um peso mínimo, que quase não será levado em consideração.
Suas palavras foram:
Por enquanto, é apenas um leve sinal - que afeta menos de 1% de consultas globais e tem menos peso do que outros sinais, como conteúdo de alta qualidade - enquanto dá tempo para os webmasters adotarem o HTTPS. Mas, com o tempo, podemos decidir fortalecê-lo, pois gostaríamos de incentivar todos os proprietários de sites a mudar de HTTP para HTTPS para manter todos seguros na web.
HTTPS? é necessário?
Não só porque agora o Google decidiu levar isso em consideração, mas porque HTTPS significa tráfego seguro, protegido do olhar de curiosos ou intrusos. Ou seja, quando acessam DesdeLinux Outras pessoas na mesma rede não poderão saber exatamente o que você está fazendo na sua rede. DesdeLinux, que artigo comentam ou lêem, entre outras coisas, é claro.
A primeira coisa que devemos ter em mente é que, ao implementar HTTPS, os dados do usuário viajarão criptografados pela rede, o que significa segurança acima de tudo, independentemente de o Google dizer algo agora ou não, e é justamente por causa da segurança que muitos sites (Twitter, Google, Facebook, etc.) abre automaticamente em HTTPS.
Colocar HTTPS removerá HTTP?
Aqui está a dúvida ou pergunta que tenho. HTTPS pode ser implementado em DesdeLinux, então quando alguém acessa https://Blog.desdelinux.net ele abre em uma conexão criptografada e segura, e também deixa http, para que se você acessar https://blog.desdelinux.net ele ainda abrirá, mas sem uma conexão segura.
Isso é: Opção 1 -" Deixe HTTPS e HTTP para o usuário entrar por meio do especificado na barra de navegação do navegador.
Outra coisa que pode ser feita é remover o tráfego HTTP do site, em vez disso, redirecioná-lo para HTTPS.
Quero dizer que quando um usuário acessa https://blog.desdelinux.net você será redirecionado automaticamente para https://Blog.desdelinux.net
Isso é: Opção 2 -" Não permita tráfego inseguro em DesdeLinux, forçando o usuário a sempre usar HTTPS
Essa é a questão principal, que deixo vocês comentarem, discutirem, aconselharem. Eu escolho deixar os dois, qual é a escolha do usuário para qual entrar, o que você acha?
Provedor SSL?
Nosso domínio é com NameCheap, que atua como um "intermediário" ou "plataforma" para adquirir um certificado SSL válido, ou seja, que assine aquele gerado por nós em nosso servidor e que ao acessar https://blog.desdelinux.net não aparece uma janela do navegador informando que o site não é seguro ou algo parecido.
NameCheap oferece muitas opções, ou melhor, possui diversos provedores disponíveis, Comodo, RapidSSL, GeoTrust, etc. A questão surge aqui ... alguém recomenda um? (…) Você já teve experiências nesse assunto?
O fim!
Bem, nada mais a acrescentar, aí deixo o post e aguardo seus comentários.
Sou a favor de permitir apenas o tráfego seguro, é mais fácil manter assim.
+1
Não é realmente difícil nem um nem outro. Por mais que ter apenas HTTPS como HTTP e HTTPS, é tão simples quanto, do ponto de vista técnico quase não há variação.
O problema é que HTTPS é um pouco mais lento que HTTP, porque faz o mesmo, mas adiciona um X a mais tempo que leva para criptografar os dados. Eu pergunto pensando em pessoas com largura de banda ruim, como esta que te escreve 😉
No que me diz respeito, e tendo o mesmo problema que você, porque me inclino para a segurança, mesmo que a página demore um pouco para carregar…. Ayyy, não, não, não, eu vi quanto tempo leva para carregar, por exemplo, Twitter, Facebook, etc !!!! Não, não, não, queeeé va… deixe-me o http pela'o, ou em qualquer caso habilite ambos: https e http… sem bagunça !!!!
Não se preocupe, não vai demorar nem remotamente como aqueles haha aqui temos tudo bem otimizado 🙂
Verdadeiro. E isso já aconteceu comigo muitas vezes.
Eu escolho a opção 1. Acho que os usuários devem ser capazes de escolher. Ele também mantém melhor compatibilidade com dispositivos móveis um tanto desatualizados. Por otra parte el certificado SSL es algo que nunca me convenció, se basa en que el proveedor de certificados al cliente se fía de la compañía que los emite y eso puede traer consecuencias vía acción humana bastante negativas, aunque de momento no ha pasado nada de isso.
Saudações!
Parece-me uma prática excelente permitir apenas o tráfego via HTTPS
Com nginx ou apache é muito fácil redirecionar solicitações da porta 80 para 443
Em relação ao certificado, suponho que para você seja fácil para sua empresa assinar o certificado, porém, por questões de custo, também é possível gerar um certificado autoassinado que funciona exatamente da mesma forma, mas com um aviso quando os usuários se conectam.
Eu quase te disse CAcert, mas esse provedor SSL forçou o Parabola GNU / Linux-Libre a redirecionar a página inteira para o wiki inteiro.
De qualquer forma, não conheço nenhum outro serviço SSL que me pareça realmente confiável.
Mas o certificado raiz CACert não está incluído em nenhum navegador principal, não é muito diferente de usar um certificado autoassinado 😛 http://en.wikipedia.org/wiki/CAcert.org
Se não houver problemas com o consumo de recursos, eu deixaria apenas https. Se os dois forem deixados, deve ficar claro para os usuários que eles têm a possibilidade de usar https e que, de outra forma, estão em uma conexão insegura. Parece-me mais simples usar apenas https, mas é subjetivo.
Para o CA ... qualquer conhecido, o que é mais barato
Eu considero a opção 1 como padrão, a compatibilidade é um fator importante a ser levado em consideração.
E uma pequena correção no https
O aumento no consumo de largura de banda é praticamente insignificante, o que aumenta significativamente é o consumo de CPU no servidor, mas com os processadores de hoje isso é praticamente imperceptível embora tudo dependa da quantidade de tráfego que eles têm.
Eles também devem considerar o conteúdo extra que postam como imagens vinculadas (também em quadros) que podem estar disponíveis apenas para http e fornecerão uma mensagem de aviso na maioria dos navegadores.
Se você não quiser gastar em um certificado, você pode gerar uma classe 1 gratuita em http://www.startssl.com que são amplamente suportados, mesmo em muitos dispositivos móveis.
Embora eles usem nginx, uma maneira de mitigar o consumo de CPU é adicionando o uso de cache fast-cgi ao W3Cache para não reprocessar tanto o PHP.
Em princípio isso.
Já te disse e te digo aqui, só para que se reflita.
Para mim o melhor é permitir apenas HTTPS, não vejo qual a vantagem de dar a opção de usar um protocolo considerado inseguro, para que os usuários possam escolher? Para conexões lentas? Bom, eu tenho uma conexão lenta (no máximo 1mb no máximo) e isso não me incomoda, embora você tenha uma bem pior ... mas acho que não vale a pena ficar com dois protocolos, sabendo que usuários, tanto faz como eles estão avisados Certamente eles nos marcaram em http, e eles não vão mudar, nem vão; e novos usuários nem imaginam.
Irmão, o valor que você me passou para pagar o certificado é alto pelo pouco que dirigimos, por que gastar tanto se existe a possibilidade de que poucos usem? Meu voto é a favor apenas de HTTPS, não vejo outro.
Em Cuba, por exemplo, uma má prática por parte de alguns Administradores de Rede é fechar o 443 para que não haja “vazamentos”. Portanto, os locais onde isso acontece não teriam acesso a DesdeLinux.
Humm, em minha humilde ignorância, acho que me lembro que http fornece acesso de outras portas, acho que você pode fazer o mesmo com https. Você coloca em outra porta e esquece o problema. Censura maldita, isso mostra que tor é muito necessário. Aqui na Espanha eles não precisam de censura, total, a maioria das pessoas comeu a jarra e se você lhes contar algo que não ouviram no noticiário, eles te acusam de um demagogo.
Bem, se em Cuba eles fecham a porta 443 como você diz, você pode usar portas alternativas como 8443 ou como eu costumo fazer 4433 :).. Nginx ou Apache não se importam com o que você configura para abrir por padrão quando você entra desdelinux.líquido..
Eles deixam 80 abertos e às vezes 443 ... Mas os demais estão sempre fechados 🙁
1mb !!! Isso é ouro, digo-vos que na empresa em que trabalho, em Cuba, somos uma das que tem mais largura de banda em relação às mais próximas da zona, e temos 512 kbits, ou seja, metade tem, mas não tem Resta, somos umas 10 ou 15 pessoas na entidade que usa este canal, então tire as suas próprias conclusões, às vezes tenho que usar o bing.com porque o Google, como usa https, não me cobra para fazer pesquisas ...
Melhor manter as 2 opções. É claro que https é o ideal para questões de privacidade, afinal ninguém liga para o que estou vendo, MAS acontece que em muitos lugares (universidades, escolas ...) esse tráfego é filtrado para ter maior controle (principalmente cortar proxies) e deixar apenas alguns sites permitidos. Portanto, os dois protocolos são melhores.
Saudações a todos.
Aqui em cuba é igual
Iniciar SSL.
Ele fornece um certificado válido e gratuito por um ano para seu domínio e um subdomínio.
Seria bom ter os subdomínios também por https, que são vários
Nesse caso, não é grátis, custa $ 59.99, acho que como todos os outros.
htps por favor 😀
Olá pessoal de desdelinux,
Posso gerar um certificado SSL assinado pela autoridade StartCom que vem em todos os navegadores da web por padrão.
O certificado seria válido por 1 ano a partir do dia que você desejar e eu o farei de graça ..: D. Para o próximo ano iremos renová-lo :).
Aguardo sua resposta e saúdo toda a comunidade.
Mais uma coisa... recomendo redirecionar automaticamente http para https e usar apenas https em desdelinux.net 🙂
Quanto custaria realmente? Ou eles podem ser obtidos gratuitamente?
59.90 $ o básico por dois anos :) .. Mas eu digo que posso gerar um legalmente agora 😀
Pois bem, verifique com a Elav e se tiver interesse, envie-me o e-mail com o qual o certificado é verificado. Pelo que vejo, os disponíveis são: D:
postmaster @desdelinux.net
hostmaster @desdelinux.net
webmaster @desdelinux.net
abuse@enom.com
desdelinux@myopera.com
Você já conhece meu email :). Ele também geraria os subdomínios para você.
Uma saudação..
Você também pode criar sua própria autoridade (CA) com a qual geraria seu próprio certificado e ofereceria a parte pública da CA para download, para que os usuários do desdelinux podem implementá-lo em seus navegadores e assim ver o site assinado corretamente pela autoridade de desdelinux :).
Tenho uma dúvida, pois os buscadores não implementam criptografia para as conexões sem a necessidade do provedor usar https.
Instalei o https em todos os lugares, aquele que supostamente faz isso em sites não criptografados.
Isso não seria mais prático para todos?
Pode ser ativado / desativado por defeito e quem desejar pode desativá-lo / ativá-lo.
Uma saudação.
É uma boa ideia mudar para HTTPS, especialmente porque aqui você precisa usar contas de e-mail ou acessar o usuário do blog para poder comentar e, ao fazer isso, os usuários recebem uma camada de segurança. Além disso, todos os navegadores de renome atuais oferecem suporte HTTPS, então duvido que haja qualquer impacto quando se trata de acessar o site pelos usuários.
Lendo um pouco sobre o serviço de certificado SSL StartSSL, posso ver que estão faltando alguns itens como:
* Não oferece suporte a vários domínios.
* Não oferece suporte para vários e-mails.
* Não funciona para subdomínios.
* Não oferece detalhes de identificação e organização.
Algumas dessas coisas são úteis para o portal, especialmente para a questão da autenticação do fórum e da pasta de uma vez por todas, e em comparação com o serviço pago mais barato, o StartSSL leva o prêmio.
* startssl.com permite curingas, eu uso e estou gerando certificados o tempo todo.
* Sempre há apenas um e-mail válido para gerenciar e há um formulário que permite que você escolha qual usar.
* funciona para subdomínios.
* Oferece este serviço mas pagando e verificando a identidade, neste caso não seria necessário.
Certamente, StartSSL oferece suporte curinga, multi-domínio e tudo isso, mas ... É PAGO! Você estava falando sobre a opção gratuita (você estava dizendo a KZKG), e é por isso que eu fiz a afirmação abaixo, que o serviço pago mais barato era de longe o StartSSL onde oferece tudo que foi revisado e que era obviamente melhor por causa de como constituiu o blog e os diferentes serviços que oferece.
PS: Ler * bem * não custa nada 🙂
Acho que ambos os protocolos seriam úteis em casos diferentes. Mas o melhor para mim seria entrar por padrão. desdelinux com https, especialmente se você acessar pelo Google (acho que é mais fácil falar do que fazer, ha.), porque pessoalmente prefiro conexões seguras.
Para mim seria melhor apenas https, embora se não for muito problema técnico deixá-los seria melhor os usuários escolherem, mas se eu puder, sempre usarei https
A coisa mais prática para os usuários seria redirecionar o tráfego para https
Pelos comentários, percebo que poucos de nós sugerem fornecer ambas as funcionalidades e apenas eu esclarecendo o que a publicação em https implica, o resto eu acho que são apenas novatos que querem https a todo custo sem pensar nas consequências.
Desculpa ...
O homem é que infelizmente nem todos têm a mesma situação e bem, cada um puxa pela sua. Mas nós entendemos você.
Sem ser um especialista no assunto ... e você não pode fazer a página usar https por padrão e caso o usuário não consiga acessá-la (bloqueios, etc.) carregar a página http usual?
Quer dizer, usar a página http como alternativa?
Abraço! Paulo.
Seu ponto é válido, como você diz, você tem que ver todas as possibilidades, e o principal problema de fornecer HTTPS é para aquelas pessoas que estão atrás de um proxy, firewall ou sistema de filtragem que não permite o acesso a serviços seguros (Universidades, escritórios, países com bloqueios de internet), que seria o maior problema para os usuários. Por outro lado, há o problema do impacto que a implementação do SSL teria no servidor (um impacto mínimo considerando o hardware atual) ou na "lentidão" que a página teria ao carregar usando HTTPS (faça uma comparação do hora de carregar o blog com o Facebook ou Twitter, está errado !!) mas a verdade é que prefiro HTTPS.
Eu entendo que é quase o mesmo implementar apenas HTTPS com HTTP redirecionado para o primeiro ou ambos. Portanto, a questão é qual provedor SSL usar e confiar e influenciar os custos aqui, certo?
Por que não pegar esse dinheiro agora e usar um certificado confiável ao mesmo tempo? Quão? Deixe HTTP e HTTPS implementados, crie seu próprio certificado SSL (clique na guia aceitar, este certificado é confiável, é fácil) e crie, por exemplo, uma postagem de blog ou um pequeno banner explicando às pessoas que existe a possibilidade de comunicação criptografada e que o certificado é criptografado por você.
A meu ver, visitar seu site em HTTP coloca confiança em você, então não há problema em aceitar seu próprio certificado. E quem não quer adicionar seu certificado ao navegador, foda-se ... e use HTTP.
Não sei sobre você, mas pessoalmente parece absurdo ter que usar um serviço de terceiros para fazer algo que eu posso fazer sem complicações ou custos.
O mesmo penso e disse ao meu colega. Prefiro criar meu próprio certificado mesmo que não seja aprovado e pronto. O importante neste caso é a segurança, certo?
Elav usar seu próprio certificado é o mesmo que não usar nenhum, eles o tornam um intermediário muito fácil e você não descobre porque como você "confia" no site você concorda, é por isso que já existe a ideia de navegadores Eles vêm com os CAs autorizados e validam os certificados em relação a eles; dessa forma, a menos que você tenha sido filtrado por um navegador com os CAs modificados, ele sempre avisa.
Sim, eu sei, mas quem me disse que esta garantia pela qual até $ 100 são pagos não é vulnerável de qualquer maneira? Veja todo o hype que envolveu o SSL, e ele deveria ser a coisa mais segura da web.
É exatamente o que escrevi ontem acima .. Eles exportam a parte pública de sua própria CA e oferecem para download na parte do banner para dar um exemplo .. Então cada um de nós pode importá-la para nossos navegadores e pronto. site: D.
Concordo com o que diz @petercheco, um banner poderia ser feito em um canto anunciando a notícia e levando a um post onde tudo é explicado.
Eu não tocaria em nada até que o Google publicasse a documentação para manter as duas versões HTTP / S e não perder o SEO. Na minha opinião, implementar HTTPS não é uma piada, requer muito trabalho.
Boa ideia.
Não é brincadeira para quem não conhece ou é administrador de servidores.
Bem, cara, até hoje, para 2017, a migração e auditoria de uma migração de HTTP para HTTPS continua a lhe dar dores de cabeça, não importa o quanto sysadmin-pro você pense.
Você só precisa ver como isso é implementado em seu blog para perceber que errou. Como você bem diz, eu não sei, nem sou administrador de sistema, mas ... sendo assim (ou pelo menos acreditando que é) você mostrou que não tem ideia.
Claro que eu não iria contratá-lo como administrador de sistema, vendo a bagunça que você fez.
Se você perguntasse isso há alguns anos, eu teria dito para escolher a opção 2 sem hesitar, mas e os usuários móveis que só se conectam por meio do plano de dados oferecido por sua operadora de telefonia? Muitos deles têm uma quantidade de X bits para consumir por dia (geralmente entre 500 MB a 1 ou 2 GB dependendo do plano e da empresa). Como o https requer consumo adicional de largura de banda, se o tráfego não seguro for bloqueado, muitos podem pensar duas vezes antes de visualizar o site de um smartphone sem Wi-Fi nas proximidades, e isso pode afetar negativamente as visitas.
Isso é um absurdo. O que você está dizendo determina o conteúdo da página da web e não o certificado SSL.
Em primeiro lugar, uma saudação coordenada, gosto muito do seu blog, acompanho-o desde que estou no mundo da informática e achei-o muito bom.
Do meu ponto de vista e experiência pessoal, se você tiver um http, existe a possibilidade de que quando um usuário se conecta, ele pode ser uma vítima do homem no meio forçando-o a ver a conexão sem criptografia, outra coisa é que muitos navegadores ou dispositivos não possuem o caso SSL que acontece aqui na Venezuela onde a tecnologia é cara ...
O SSL está integrado em quase todos os navegadores atuais (até o IE traz), também no nível dos dispositivos móveis, a maioria deles já vem com esse suporte também, então se você usa Blackberry, Android, Firefox OS, Nokia OS ou BREW você não deve se preocupar com isso 🙂
Você realmente acredita que os certificados X.509 são seguros?
http://64.233.185.141/translate_c?depth=1&hl=es&ie=UTF8&nv=1&prev=_m&rurl=translate.google.com.cu&sl=auto&tl=es&u=http://okturtles.com/&usg=ALkJrhgh7R1XoVQIboP9GTkaBW_mwXuq4Q
Portanto, encryption.google.com é mais seguro do que startpage.com/eng/download-startpage-plugin.html, duvido muito.
Estou optando por uma opção híbrida, com https e http redirecionados para conexões https seguras... ..e uma opção de subdomínio que seria a entrada do blog, mas http, como: portucuenta.desdelinux.net – inseguro.desdelinux.net.. ..ou similar, tornando o usuário totalmente voluntário e ciente de sua decisão por uma conexão não segura..
Bom ... me parece que basta ativar HTTPS e que redirecione se for para entrar com HTTP. Ou seja, opção alternativa 1.
Resumindo e calibrando os melhores comentários, parece claro inclinar-se para a opção 1.
Além disso, ao usar https nos sites podemos pular os filtros de muitos proxies que as empresas usam, no meu por exemplo usando https posso pular os filtros de conteúdo de proxy> :)
Eu escolho a opção 1
Tenho uma dúvida que consome mais largura de banda http ou https e quanto em qual proporção, depende do certificado usado 128, 256 bits, etc.
obrigado