Рекомендации по безопасности SSL-безопасности

Question

У меня есть сайт (www.mydomain.com), который защищен сертификатом SSL. Это веб-сайт ASP.NET, и я заставил определенные страницы с помощью кода использовать префикс https: //. Если они этого не сделают, они перенаправят их на эквивалент https: //. Это хорошая практика? Есть ли более простой способ сделать это? Не для каждой страницы требуется SSL.

Кроме того, когда пользователи используют мой URL-адрес в виде mydomain.com вместо www.mydomain.com, они получают ошибку сертификата, потому что сертификат зарегистрирован на www.mydomain.com. Должен ли я использовать тот же подход, что и я, с проблемой http: // и https: //, упомянутой выше? Или есть лучший способ справиться с этим?

Answer 1

Ваш подход звучит отлично. В моем текущем проекте я заставляю HTTPS, когда пользователь переходит на мою страницу входа (на основе флага конфигурации, который позволяет мне тестировать локально, не имея дело с необходимостью сертификата). Это позволяет мне получить доступ к другим страницам без защиты, что удобно.

У меня есть пара мест, где наш сервер захватывает выходные данные других страниц (например, рендеринг html в PDF и выборка динамических изображений). Из-за нашей среды наш сервер не может разрешить его публичное имя, поэтому, если бы мы вынудили ssl на сайте, который нам пришлось бы добавить, наш внутренний IP-адрес (или поддельный доменное имя).

Что касается вашего второго вопроса, у вас есть два варианта обработки www.example.com vs example.com. Вы можете купить сертификат, который позволяет вам иметь несколько доменных имен. Они известны как сертификаты UCC.

Ваш второй вариант - перенаправить example.com на www.example.com или наоборот. Перенаправление - отличный вариант, если вы хотите, чтобы ваш контент был проиндексирован Google или другими поисковыми системами. Поскольку они будут видеть www.example.com и example.com как два отдельных сайта. Это означает, что ссылки на ваши сайты будут разделены, что уменьшит ваш общий рейтинг страницы.

Answer 2

Вы можете настроить сайты в IIS на требуемые сертификаты, но это будет A) генерировать ошибку, если кто-то не посещает https и B) требуют, чтобы все страницы использовали https. Итак, , что не будет работать. Вы можете поместить фильтр в IIS, который проверяет все запросы и перенаправляет их как вызовы https, если они находятся в вашем списке шифрования. Очевидным недостатком здесь является необходимость обновлять список страниц каждый раз при добавлении новой страницы (например, из файла XML или базы данных) и перезапускать фильтр.

Я думаю, что вы, вероятно, правы в создании кода на страницах, для которых требуется https, который перенаправляется на версию https, если они поступают через http. Что касается вашей ошибки сертификата, вы можете перенаправить с полным путем (включая www) вместо относительного пути для устранения этой проблемы. Если у вас есть какие-либо вопросы о том, как определить, использует ли вызов https или как получить полный путь к текущему запросу, пожалуйста, дайте мне знать. Оба довольно простые, но у меня есть образец кода, если он вам нужен.

ОБНОВЛЕНИЕ - Джош, сертификаты, которые обрабатывают несколько поддоменов, называются подстановочными знаками. Проблема в том, что они довольно дороже стандартных сертификатов.

ОБНОВЛЕНИЕ 2: Еще одна вещь, которую следует учитывать, - использовать главную страницу или производный класс для страниц, которым необходим SSL. Таким образом, вместо дублирования кода на каждой странице вы можете просто объявить его как тип SSLPage (или использовать соответствующую главную страницу) и иметь класс Master/Parent обработать перенаправление. Опять же, вам нужно будет обработать некоторые URL-адреса, если вы примете этот подход, но это довольно тривиально.

Answer 3

Ниже то, что может помочь вам:

• Если это прекрасно, чтобы отобразить все страницы сайта с https: //, то вы можете просто обновить свой код, чтобы использовать https: // и установить два привязок в ИИС. Один для http, а другой для https. Таким образом, ваш сайт может быть доступен через любой из протоколов.
• Ваши посетители получают ошибку несоответствия имени, поскольку общее имя, используемое в вашем сертификате SSL, - www.mydomain.com. Namecheap предоставляет сертификаты RapidSSL, через которые вы можете защитить оба имени под одним SSL. Вы можете приобрести этот SSL для www.mydomain.com, и он автоматически защитит mydomain.com (т. Е. Без www).

Еще один вариант - вы можете написать код для перенаправления посетителей на сайт www.mydomain.com, даже если они просматривают mydomain.com.