security - 简单的社区站点需要 SSL 证书吗？

Question

我正在部署一个小型社区站点。用户注册只需要用户名、电子邮件地址和密码。我什至不要求提供姓名，当然也不会存储任何敏感数据。

我还应该购买 SSL 证书吗？在没有用户密码的情况下传输用户密码是否被视为糟糕的做法？

这只是一个个人项目，所以我想尽可能避免额外的费用，但我忍不住觉得如果我没有妥善保护一切是不负责任的。

Answer 1

我建议您获取 SSL 证书，并在用户向您的网站提交密码时要求使用 https。尽管您的用户不会传输任何敏感信息，但仍然有一个重要原因:许多人访问的每个站点都使用相同的用户名和密码，如果有人在咖啡店使用笔记本电脑使用开放式无线网络，您应该竭尽所能保护他们和他们的身份安全。

如果成本是个问题，一个好的折衷方案是 CACert .大多数浏览器(目前)默认不信任他们的证书，但任何具有可验证身份的人都可以免费从他们那里获得证书。