是否允许非SSL页使用HTTPS或强制非SSL页使用http?

时间:2015-07-15 作者:Shawn

我有一个基本问题,我以前在这里没有看到过。我认为它属于这里,因为它涉及到试图保护wordpress的问题。

跨请求哪个更安全?

允许https上的非ssl安全页面,还是应该将这些请求强制返回http?

通过https强制使用非ssl页面的效果或好处是什么?假设用户未登录的主页正在发出https请求。在本例中,安全收益是什么?改为重定向到页面的http版本更好吗?

如果允许https更好,如果直接在页面上或通过ajax/admin ajax允许https用于非ssl页面,wordpress核心是否存在任何(潜在)陷阱,从而导致重定向问题?

1 个回复
最合适的回答,由SO网友:TheGentleman 整理而成

简而言之,无论您是否使用wordpress,您都应该尽可能使用https,即使是在最基本的网站上。以下是一些原因并作了简短的解释。

  1. Security - 即使在不一定需要安全的页面上,使用https也是有用的,因为您希望覆盖尽可能多的情况。考虑一下,您的站点上可能有一个联系人表单,用于收集用户的个人(如果不一定是机密)数据。如果在咖啡馆中填写该表单时没有使用https,那么该咖啡馆中正在查看的任何人都拥有该用户的信息。这是一个简单的例子,但你可以看到这里的可能性是多种多样的(想想Cookie等人)
  2. Spoofing - 这很容易成为安全性的一个子类别。当您使用https时,您的站点很难通过中间人(在中间)进行欺骗
  3. Referrer Data - 当您从https页面转到http页面时,所有引用者数据都将丢失。这可能对你来说是个问题,也可能不是,但仍然需要考虑。当你在一个站点内的http和https之间切换时,你必须考虑到你将丢失任何参考数据(这可能对seo有害,尤其是如果你的站点有广告的话)
  4. SEO - 谷歌和其他搜索引擎为支持https的网站提供了更高的排名。关于这是否是一项好政策,有各种各样的论点,但不管怎样,这都是一项政策
  5. Why Not? - 如果您正在托管一个站点,并且您拥有ssl证书,那么为什么不在所有页面上使用它呢。这并没有真正的缺点,就我个人而言,我发现对于使用apache(或IIS)配置的整个站点来说,打开它并忘记它要容易得多,而不是试图不断地管理哪些页面是安全的,哪些页面是不安全的
结束

相关推荐

Wp-admin重定向至HTTPS,拒绝登录

我通过cloudflare插件使用cloudflare,启用了SSL。在wp配置中启用ssl。php文件:define(\'WP_HOME\',\'https://example.org\');define(\'WP_SITEURL\',\'https://example.org\');$_SERVER[\'HTTPS\'] = \'on\';主站点上的一切似乎都很正常,但当尝试登录到admin时,我看到:您没有足够的权限访问此页面。这是在进入常规设置并调整“主页”和“站点URL”选项后开始的。按照指南,