encryption - 所有网站都应该默认使用 SSL 吗？

Question

我们正在将我们的网络架构迁移到新环境。其中包括数十个不同的站点，从几乎完全静态的站点到需要身份验证并包含敏感内容的动态站点。我们的 Web 服务器管理员(开发团队没有任何意见)决定将其作为新环境中的标准，以强制对所有内容使用 SSL。我不同意这个决定，并希望在坐下来讨论时尽可能多地了解情况。到目前为止，这是我所拥有的:

• 对于每个站点，SSL 证书都会产生直接费用。我们有开发、质量保证和生产环境，因此这是每个站点需要的三个证书
• 对于大多数页面来说，内容是不安全的，由于加密和解密，强制 SSL 会使页面请求在服务器上花费更长的时间
• 据我所知，大多数浏览器不会缓存经过 SSL 处理的页面，因此页面请求将花费更长的时间
• 旧版浏览器在使用 SSL 时会出现文件下载问题

当用户进行身份验证或请求敏感数据时，强制使用 SSL 没有问题。但是，我认为默认情况下在所有站点上强制使用 SSL 有点过分。

Answer 1

回复Thomas's answer :

For each site, an SSL certificate has a direct cost. We have a dev, qa, and prod environment and thus that is three certificates that are needed for each site

很难说是真的。您不需要让每个开发人员和质量保证人员都使用有效的当前证书来支持 SSL。您——也许——想要一个具有有效证书的暂存站点。但是在 Apache 前端之外，您的后端应该不知道涉及 SSL。您并不是通过购买开发证书来测试任何独特或特殊的东西。

此外，成本是名义上的。您在对话上花费的钱比证书实际花费的多。

For the majority of pages, the content is not secure and forcing SSL would make the page requests take longer on the server because of encrypting and decrypting

有一点。你量过吗？您可能会发现这很难衡量，因为互联网速度的可变性超过了 SSL 处理的成本。

From what I understand, most browsers to do not cache pages that are SSL'ed and thus again, page requests will take longer

再问一次，你测过这个吗？

Older browsers have problems with file downloads when they are SSL'ed

真的吗？您打算支持哪个特定的“旧版浏览器”存在此问题？如果你找不到一个并且认为某个地方的某个人可能有这个问题，那么你可能过度设计了。检查您的日志并查看您的客户实际使用的浏览器，然后确定您是否有问题。

我同意“无处不在的 SSL”不是一个很好的方法。我认为您至少需要一个非 SSL 端口 80“欢迎”页面。但我不确定您当前的一系列问题是否有充分的理由。我认为您需要更多的测量来证明 SSL 实际上涉及实际成本或实际性能影响。