wordpress - 从 HTTPS 迁移到 HTTP

Question

我的 WordPress 客户端不再需要 SSL 加密。目前，我在 .htaccess 中有以下内容来强制 SSL 加密:

RewriteEngine on

RewriteCond %{HTTP_HOST} ^www\.(.*)$ [NC]
RewriteRule ^(.*)$ https://%1/$1 [R=301,L]

RewriteCond %{HTTPS} !on
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

我相信，由于 301，之前访问者的浏览器将自动尝试 HTTPS。如何在不让以前的访问者遇到问题的情况下转移到 HTTP(不安全)？

Answer 1

我想不出您想要这样做的任何充分理由；特别是在2017年。有很多不利因素:

1. 您仍需要保留有效的 SSL 证书，以便从 HTTPS 重定向回 HTTP。您需要对所有指向 https、搜索引擎索引、书签等的入站链接执行此操作。如前所述 in this other question ，如果没有有效的 SSL 证书，用户甚至在请求到达您的站点之前就会看到浏览器警告。 (如果您需要保留 SSL 证书，那么为什么不正确使用它呢？)

2. 任何缓存了 HTTP 到 HTTPS 301 重定向的浏览器自然会被重定向到 HTTPS 站点。如果没有有效的 SSL 证书，他们将看到浏览器警告。使用有效的 SSL 证书，用户将被重定向回 HTTP(但这也取决于页面/资源是否也被缓存)。但是，这可能会导致(部分)重定向循环 - 根据浏览器的不同，您可能会在浏览器解决冲突之前收到一个短暂的警告 (ERR_TOO_MANY_REDIRECTS)。某些浏览器可能无法解决冲突，因此用户可能会看到错误，直到他们手动清除浏览器缓存。

   要尽量减少此重定向问题，请将所有缓存减少到最低限度，并在移回 HTTP 之前将所有必要的重定向更改为 302(临时)。两者都不是理想的。

3. Google Chrome 当前会在用户通过不安全 (HTTP) 连接输入用户名/密码和/或付款信息时发出警告。这自然包括登录 WordPress。您在浏览器地址栏中收到“不安全”消息。 Google 计划将此行为扩展到隐身模式(所有站点)，并最终扩展到所有。这将使任何网站都很难继续使用普通的旧 HTTP。

   请参阅 Pro Webmasters stack 上的以下相关问题:

   • > Are there other options besides HTTPS for securing a website to avoid text input warnings in Chrome?

   Google 的安全博客帖子宣布了提议的更改:

   • > Google Security Blog - Moving towards a more secure web -2016 年 9 月 8 日

4. 随着免费/自动 CA 的引入，例如 Let's Encrypt如今，如果您只是想启用加密，这不是什么钱。

所以，我认为教育您的客户是更好的选择。