HTTP，HTTPS，共享SSL和SEO

Question

我最近在浏览当前网站主机提供的一些功能，现在我想知道一些事情。即使您只能回答其中的一部分，我也感谢您提供的任何帮助。

我有一个域名mydomian.com，主机提供共享SSL，因此我可以使用此地址https://mydomain.myhost.com来使用HTTPS。 SSL证书适用于* .myhost.com。

1. 我对SSL知之甚少，但我认为这意味着网站用户和myhost.com上的任何域之间的数据都是加密的。所以很奇怪，如果这意味着如果与我在同一主机上的其他人以某种方式拦截了我网站上的数据他们能够查看它，因为他们也会有一个https://theirdomain.myhost.com地址，它使用相同的SSL证书？我可能根本不知道，这几乎是猜测。

2. 如果在登录页面上使用HTTPS，但登录后通过HTTP查看其他页面，这是安全问题吗？

3. 有没有办法通过HTTP为谷歌等机器人显示网页表单，但真实用户是否重定向到HTTPS版本？如果可以通过.htaccess完成，那将是理想的。我目前有一些重写规则将某些页面重定向到HTTPS，但其余的重定向为HTTP。因此，如果访问者访问联系表单，他们会自动获得HTTPS版本，但对于不包含表单的页面，它会自动切换回HTTP。那么，通过htaccess，有没有办法将真实用户引导到HTTPS版本，但有机器人指向HTTP版本？我希望这些页面仍被搜索引擎编入索引，但希望用户通过HTTPS查看。

提前感谢您提供的任何帮助。

Answer 1

我猜你会对第一名没问题。如果您的主机正确执行，则各个子域永远不会看到SSL密钥。以下是它的工作原理：

1. 有浏览器的人向您的子域服务器发送加密请求。
2. 您的主机的主服务器收到请求并对其进行解密。
3. 主服务器将解密的请求发送到您的子域服务器。

您发回的任何HTTPS响应都会反过来执行该过程。应该很容易检查他们是否已经设置了这样的方式：如果您可以设置共享SSL而无需亲自处理任何密钥文件，那么您就是好的。如果你真的拿到了一些关键文件......那就不好了。

对于两个：如果你加密登录，你保护密码，这是好的。但是如果你之后切换回HTTP，你可以打开自己的其他攻击。见：Firesheep。可能还有其他人。

三个人。是的 - 绝对可行。查看mod_rewrite。不能举个例子，因为我从未使用过这个特例，但我可以指向this page - 尤其是标题为“浏览器依赖内容”的部分。

希望有所帮助！

Answer 2

1. 当您使用https：//作为协议时，每个流量都会被加密。 （除了一些不常见的情况，我不会在这里讨论）。 SSL证书的目的是通过将服务器的公钥与身份相结合来证明服务器的身份。此证书仅适用于属于公​​共证书的私钥。在您的情况下，此证书以及密钥对似乎由您的托管服务提供商提供。我想您和主机上的其他客户都无法访问此私钥。这意味着只有您的提供商才能解密流量。由于情况总是如此（他正在运行服务器，因此可以访问每个数据），这应该没问题。
2. 在大多数情况下，这是一个安全问题。在每个进一步未加密的http请求中，客户端必须向服务器提供会话的一些信息。这些可以被攻击者拦截和使用。 （简单来说）
3. 机器人应该支持https，为什么不重定向它们？无论如何：重要的部分不是通过https提供包含表单的页面。为了保护用户的数据，您应该注意响应是通过https传输的。