¿Buenas prácticas o mala práctica para forzar todo el sitio a HTTPS?

Question

Tengo un sitio que funciona muy bien cuando todo está en HTTPS (autenticación, servicios web, etc.). Si mezclo http y https, requiere más codificación (problemas de dominio cruzado).

Parece que no veo muchos sitios web que están completamente en HTTPS, así que me preguntaba si era una mala idea hacerlo de esta manera.

Editar: Sitio debe ser alojado en la nube Azure en ancho de banda y uso de la CPU puede ser un problema ...

Answer 1

Si no tiene efectos secundarios, probablemente esté bien por el momento y podría estar feliz de no crear trabajo donde no lo necesite.

Sin embargo, hay pocas razones para encriptar todo su tráfico. Sin duda, las credenciales de inicio de sesión u otros datos confidenciales sí lo hacen. Una de las principales cosas que perderías es el almacenamiento en caché aguas abajo. Sus servidores, los ISP intermedios y los usuarios no pueden almacenar en caché el https. Esto puede no ser completamente relevante, ya que dice que solo está prestando servicios. Sin embargo, depende completamente de su configuración y de si existe la oportunidad de almacenar en caché y si el rendimiento es un problema en absoluto.

Answer 2

HTTPS disminuye el rendimiento del servidor por lo que puede ser una mala idea si su hardware no puede hacer frente a ella. Puede encontrar this post useful. Este documento (académico) también discute the overhead of HTTPS.

Answer 3

se pierde una gran cantidad de características con https (principalmente relacionados con el rendimiento)

• proxy pueden no páginas de caché
• no se puede utilizar un proxy inverso para la mejora del rendimiento
• No puede alojar varios dominios en el misma dirección IP
• Obviamente, el cifrado consume CPU

Tal vez eso no es problema para usted, sin embargo, realmente depende de los requisitos

Answer 4

Si tiene solicitudes HTTP procedentes de una página HTTPS, obligará al usuario a confirmar la carga de datos inseguros. Molesto en algunos sitios web que uso

Answer 5

Odio correr en sitios totalmente inherentes a https que no manejan nada que realmente requiera cifrado. Principalmente porque todos parecen ser 10 veces más lentos que cualquier otro sitio que visito. Al igual que la mayoría de las páginas de documentación en developer.mozilla.org, lo forzarán a verlo con https, sin ningún motivo, y siempre lleva mucho tiempo cargar.

Answer 6

Es una buena idea usar todo-HTTPS, o al menos proporcionar a los usuarios expertos la opción de todo-HTTPS.

Si hay ciertos casos en los que HTTPS es completamente inútil y en esos casos encuentra que el rendimiento se degrada, solo entonces podrá usar o no HTTPS por defecto.