Názory k článku
Google Chrome 94 přijde s volbou vynucení přechodu na HTTPS na všech webech

To bude docela "vopruz"... Stále je tu spousta webů dostupných po HTTP na hostingu s HTTPS - kde ovšem není právě ten web. V lepším případě se objeví varování o nesprávném certifikátu, v horším nějaký úplně jiný web nebo "technická stránka". A protože jde často o amatérské weby, kde jediná údržba spočívá v zaplacení hostingu na další rok, nejspíš se takové stránky před prohlížečem nadobro schovají.
(Aneb není nad to, když se prohlížeč snaží přemýšlet za uživatele i za tvůrce webu.)

mám pár statických obstarožních úzce zaměřených webů, jednoúčelových, na které ještě lidi občas chodí... Vpodstatě statický obsah, nic důležitého, celou dobu jsou na HTTP, protože se mi s tím nechce patlat :/ teď nevím co. Asi to začnu řešit až tehdy, kdy se začnou ozývat lidi, že jim "web nejde".
Jako na jednu stranu posun k HTTPS beru jako fajn, ale dělat nějaké celostránkové varování s kdovíjakým textem... nevím no, to už se mi moc nelíbí. Varování jo, ale bojím se, že to bude podané stylem "tohle je neskutečně nebezpečný web, honem pryč, než vám útočníci vysajou účty! "

Naštěstí u dobře půlky webhostingů stačí v administraci najít nějaké zaškrtávátko, které přidá HTTPS s LE certifikátem zdarma. (Někdy je potřeba ještě zavolat na podporu, když to zaškrtnete a ono to nezabere.)

Pokud váš webhosting nemá HTTPS na jeden checkbox v administraci, nebo za něj chce další peníze (srdečné pozdravy Wedosu), dejte před ten web Cloudflare (nebo něco podobného). Zajistí vám HTTPS terminaci, na váš web se pak připojí přes HTTP. Jako bonus pak budete mít soubory kešované v jejich CDN, HTTP/2 a nejspíš i lepší kompresi, takže se váš web nejspíš i zrychlí.

Bez celostránkového varování to nejde. Když jenom zobrazíte nějaký dialog, lidé ho odkliknou bez čtení.

A jak to hostuješ, že to znamená "nějaké patlání"? Já hostuju weby na svém serveru tak, že zapnutí HTTPS nějakému webu znamená připsat jeho doménu do konfiguráku ACME klienta.

Díky všem za ty tipy zkusit to "jen zapnout" v administraci, to mě vůbec nenapadlo. Nějakou dobu jsem to vůbec nesledoval, koukám že už i mimojiné díky LE se z toho zapnutí HTTPS stala vpodstatě formalita spočívající v přepnutí položky v menu.

Weby mám různě na webhostingu, který byl vždycky v danou dobu založení webu nejvýhodnější :D , dost jich je dokonce i na obstarožním pipni free (na tu minimální návštěvnost to plně stačí). Jelikož nebydlím pořád na jednom místě, tak ani nemám zaplacenou přípojku k internetu, natožpak domácí server. To by bylo samozřejmě něco jiného..

Já taky nemám server doma, ale mám VPS od Forpsi. Nejdříve byla za 30 Kč měsíčně, teď je za 80 Kč a nedávno udělali jednu bizarní chybu (hm, chtěl jsem o tom napsat blog) a jako kompenzaci mi dali 4 roky zdarma :). Jediná nevýhoda je, že blokují přístup z většiny Tor exitů (tj. lidé s Torem se na vás nedostanou, nebo jen extrémně pomalu a nespolehlivě).

„...blokují přístup z většiny Tor exitů (tj. lidé s Torem se na vás nedostanou, nebo jen extrémně pomalu a nespolehlivě).“

???
To vypadá na porušení síťové neutrality. To se hodí vědět při výběru VPS.

Tak už snad jen znovu objevit kolo, znovu zavést nějakou značku pro OV či EV certifikáty a signalizovat ověření druhé strany. Bravo.

No jo. Resi se unosy reklam na strane cdn a isp, misto bezpecnosti. Nejsnazsi je dns, tak dnssec. Oni nam to nechtej pouzivat, tak DoH.

Obdobne rewriting - vsechno sifrovat certifikaty, pro jejichz ziskani staci na minutu kompromitovat http sluzbu na cilovem stroji.

A updaty chromu a chromia se vesele stahuji bez sifrovani a overovani via http, jak si nase ids/ips pravidelne stezuje.

přesně, kdyby si raději hleděli opravdu bezpečnosti toho šitu co dělají... Poslední dobou je google a jeho paskvily opravdu na zvážení, zda používat...

> A updaty chromu a chromia se vesele stahuji bez sifrovani a overovani via http, jak si nase ids/ips pravidelne stezuje.

Počkat, to jako fakt? To se mi nechce věřit. Reportuj to do toho jejich projektu, dostaneš tučnou bug bounty.