WordPress v České republice: statistiky z 65 tisíc webů

To s tim https, bych nevidel nijak cerne. Dovedu si predstavit ze vetsina tech webu neni nic jineho nez nejaky blog, nebo nejaka prezentace firmy, tady opravdu nevidim velky duvod pro pouzivani https.

Takovy pristup je presne ten smutny problem, proc musime stale nedostatek https trpet. Neexistuje duvod ospravedlnujici nenasazeni https, bez ohledu na obsah stranky!

Vazne? Proc proboha? Nevidim duvod vyhazovat penize za certifikat, kdyz potrebuji jen zobrazit nekde par radku textu nejakej ten obrazek a to je vse. Nehlede na dalsi problemy, ktere si sebou https provoz nese. Je to to same jako si najimat security sluzbu na prevoz stare lednicky z bodu A do bodu B.

Da se poridit i certifikat zdarma.

Na druhou stranu je to podle me jasne, problemy s tim spojene pro vetsinu lidi prevysuji uzitek.

Staci se podivat jak prohlizece tlaci "vse nebo nic" aneb radeji zadne zabezpeceni nez treba hodne suboptimalni ale aspon nejake (treba self signed certifikat). Spis nez by uzivateli rekli ze stranka se pokousi o zabezpeceni ktere ma mouchy, tak ho vydesi tak ze uzivatel si pripada zneuzit okradnut zneucten uz jen tim ze zadal URL

Presne, browser by pri selfsigned mel drzet hubu presne stejne, jako ji drzi u http.

Opak je pravdou, žádný takový důvod proč nasadit https plošně neexistuje, například u stránky na počasí. Pseudoargument o zamezení úniku informací o tom které stránky uživatel navštěvuje je zcela mimo mísu, když ho stejně sleduje a loguje Google Analytics a další, nezávisle na http/https.

Navíc https žere více akumulátor mobilních zařízení.

I když jsou Google Analytics a další zablokované?

BFU s internetem modré E to zablokovat neumí. Pokročilý uživatel zvládne napsat https tam kde je třeba.

Naopak, existuji tisice duvodu proc https zasadne nenasazovat. A vykon je ten nejmensi z nich.

Mno tak schválně, aspoň 10 z nich. ;-)

Ackoliv bych rekl ze se jednalo o hyperbolu (myslim tech tisic), tak 10 by se mozna naslo.

1. vetsi problem s cachovanim
2. vyssi rezie prenosu dat
3. problem s portama ala podpora SNI
4. potreba poridit certifikat
5. zaplatit certifikat
6. nasadit certifikat
7. udrzovat certifikat platny a validni
8. zajistit ze klienti maji spravny CA
9. sledovat vsechny mozne bezpecnostni problemy ssl https atd.
10. doufat ze se klienti nepripojuji pres nezabezpecene wifi atd.
...

Klidne 1000, ale poslu ti na to fakturu ...

a) Certifikaty - bud platit a udrzovat placenej, coz je spousta prace knicemu,
b) nebo vysvetlovat userum, ze selfsigned vazne zadny riziko nepredstavuje.
c) Coz automaticky znamena prijit o 30-50% uzivatelu.
d) Nedostatek IPcek, na jedny adrese se funkcne vic https webu provozovat neda = neni kde a jak to provozovat.
e) nemoznost odkazovat cokoli zvenku, protoze nelze zajistit ze to taktez bude https (+ multiplikace vejs uvedenych potizi)
f) prakticka nemoznost zajistit bezpecnost klice - na verejnym hostingu si ho muze odnyst kdokoli
g) resit problemy s klientama, ktery https nezvladaj (coz plati pro znacnou cast vsemoznych dbilnich zarizeni)
h) resit idioty vyvojare, ktery vypnou podporu nejakyho protokolu (trebas ssl3)
i) vsemozne proxy v ceste, kde pres 50% z nich https neprojde vubec a pres zbytek vsemozne zmrveny
j) samo prakticky nefunkcni revokace klice
k) pripadne smirovani uzivatelu pres dotazy na platnost klice

atd atd atd ...