强制整个网站使用HTTPS的良好做法或不良做法？

Question

当所有内容都使用HTTPS（身份验证，Web服务等）时，我的网站运行良好。如果我混合使用http和https，则需要更多编码（跨域问题）。

我似乎没有看到很多完全使用HTTPS的网站，所以我想知道这样做是不是一个坏主意？

编辑：网站将托管在Azure云上，其中带宽和CPU使用率可能是个问题......

10年后编辑：现在正确的答案是仅使用https。

Answer 1

您使用https（主要与性能相关）失去了很多功能

• 代理无法缓存页面
• 您不能使用反向代理来提高绩效
• 您无法在同一IP地址上托管多个域
• 显然，加密消耗CPU

也许这对你来说没问题，但这实际上取决于要求

Answer 2

HTTPS会降低服务器吞吐量，因此如果您的硬件无法应对，则可能不是一个好主意。您可能会找到this post useful。本文（学术界）还讨论了the overhead of HTTPS。

Answer 3

如果您有来自HTTPS页面的HTTP请求，您将强制用户确认加载不安全的数据。在我使用的一些网站上烦人。

Answer 4

如果您没有副作用，那么您现在可能还可以，并且可能乐意不在不需要的地方创作。

但是，没有理由加密所有流量。当然登录凭据或其他敏感数据。您将失去的主要内容之一是下游缓存。您的服务器，中间ISP和用户无法缓存https。这可能不完全相关，因为它表明您只提供服务。但是，它完全取决于您的设置以及是否有机会进行缓存以及性能是否是一个问题。

Answer 5

最好使用全HTTPS - 或者至少为知识渊博的用户提供全HTTPS的选项。

如果在某些情况下HTTPS完全无用，并且在这种情况下您发现性能下降，那么只有这样才能默认或允许非HTTPS。

Answer 6

这个问题，尤其是答案是过时的。该问题应加标签：<meta name="robots" content="noindex">，以使其不再出现在搜索结果中。

使此答案相关：

1. 当网站搜索排名未能使用TLS / https时，谷歌现在对其进行惩罚。您还将因重复内容的排名而受到惩罚，因此请小心地将页面 E 作为http OR https 绝对不要 （或使用准确的规范标签！）

2. Google还在积极地指出不安全的连接，这会吓跑潜在的用户，从而对转化产生负面影响。

3. 这是为了追求只有TLS的网络/互联网，这是 GOOD 的目标。 TLS不仅要确保密码安全，还要使整个面向世界的环境保持真实性。

4. “性能损失”神话实际上只是基于过时的过时技术。 This is a comparison表示TLS比HTTP 快（不过应该注意的是，该页面也是加密的 HTTP / 2 HTTPS与纯文本HTTP / 1.1的比较）。

5. 如果您还没有证书，使用LetsEncrypt可以很容易且免费地实现。

6. 如果您确实有证书，那么请检查并在所有地方使用HTTPS。

TL; DR，在2019年，这里是在站点范围内使用TLS的理想选择，并且建议同时使用HTTP / 2。

</soapbox>

Answer 7

我讨厌遇到无意义的所有https网站，这些网站无需处理真正需要加密的内容。主要是因为它们似乎比我访问的每个其他网站慢10倍。与developer.mozilla.org上的大多数文档页面一样，将强制您使用https查看它，无论如何，加载总是需要很长时间。