To s tim https, bych nevidel nijak cerne. Dovedu si predstavit ze vetsina tech webu neni nic jineho nez nejaky blog, nebo nejaka prezentace firmy, tady opravdu nevidim velky duvod pro pouzivani https.
Takovy pristup je presne ten smutny problem, proc musime stale nedostatek https trpet. Neexistuje duvod ospravedlnujici nenasazeni https, bez ohledu na obsah stranky!
Vazne? Proc proboha? Nevidim duvod vyhazovat penize za certifikat, kdyz potrebuji jen zobrazit nekde par radku textu nejakej ten obrazek a to je vse. Nehlede na dalsi problemy, ktere si sebou https provoz nese. Je to to same jako si najimat security sluzbu na prevoz stare lednicky z bodu A do bodu B.
Na druhou stranu je to podle me jasne, problemy s tim spojene pro vetsinu lidi prevysuji uzitek.
Staci se podivat jak prohlizece tlaci "vse nebo nic" aneb radeji zadne zabezpeceni nez treba hodne suboptimalni ale aspon nejake (treba self signed certifikat). Spis nez by uzivateli rekli ze stranka se pokousi o zabezpeceni ktere ma mouchy, tak ho vydesi tak ze uzivatel si pripada zneuzit okradnut zneucten uz jen tim ze zadal URL
Opak je pravdou, žádný takový důvod proč nasadit https plošně neexistuje, například u stránky na počasí. Pseudoargument o zamezení úniku informací o tom které stránky uživatel navštěvuje je zcela mimo mísu, když ho stejně sleduje a loguje Google Analytics a další, nezávisle na http/https.
Navíc https žere více akumulátor mobilních zařízení.
Ackoliv bych rekl ze se jednalo o hyperbolu (myslim tech tisic), tak 10 by se mozna naslo.
1. vetsi problem s cachovanim
2. vyssi rezie prenosu dat
3. problem s portama ala podpora SNI
4. potreba poridit certifikat
5. zaplatit certifikat
6. nasadit certifikat
7. udrzovat certifikat platny a validni
8. zajistit ze klienti maji spravny CA
9. sledovat vsechny mozne bezpecnostni problemy ssl https atd.
10. doufat ze se klienti nepripojuji pres nezabezpecene wifi atd.
...
a) Certifikaty - bud platit a udrzovat placenej, coz je spousta prace knicemu,
b) nebo vysvetlovat userum, ze selfsigned vazne zadny riziko nepredstavuje.
c) Coz automaticky znamena prijit o 30-50% uzivatelu.
d) Nedostatek IPcek, na jedny adrese se funkcne vic https webu provozovat neda = neni kde a jak to provozovat.
e) nemoznost odkazovat cokoli zvenku, protoze nelze zajistit ze to taktez bude https (+ multiplikace vejs uvedenych potizi)
f) prakticka nemoznost zajistit bezpecnost klice - na verejnym hostingu si ho muze odnyst kdokoli
g) resit problemy s klientama, ktery https nezvladaj (coz plati pro znacnou cast vsemoznych dbilnich zarizeni)
h) resit idioty vyvojare, ktery vypnou podporu nejakyho protokolu (trebas ssl3)
i) vsemozne proxy v ceste, kde pres 50% z nich https neprojde vubec a pres zbytek vsemozne zmrveny
j) samo prakticky nefunkcni revokace klice
k) pripadne smirovani uzivatelu pres dotazy na platnost klice
e) odkazovat cokoliv z venku je kravina i v HTTP.
f) na veřejném hostingu si s vaším webem mohou dělat naprosto cokoliv.
g) mohl by jste takového klienta jmenovat?
h) vypnout SSL3 je ok. Protože POODLE.
i) to je problém proxy, ne tvůj. Uživatel si tak jako tak brzo všimne, že mu přes ní např. nefunguje email. Navíc, pokud proxy aktivně mrví obsah, je lepší přes ni nekomunikovat vůbec.
k) Adresa už je stejně jedno, protože DNS leak. A aspoň není vidět prohlížený obsah.
