SSL证书。哪些页面？

哪些网页需要为在线商店使用SSL证书？本网站仅适用于注册用户，付款是使用第三方提供商进行的。我想：登录，注册，更改密码。SSL证书。哪些页面？

其他建议？

2011-05-06 morandi3

为什么你想跳过一些网站的SSL？性能？ – Demento 2011-05-06 10:50:12

哇，你选择了错误的答案。 – rook 2012-12-10 03:03:21

hmm？你认为？ – morandi3 2012-12-14 08:18:39

根据哪些页面发送或接收机密信息使用SSL。您的“关于我们”或“产品和服务”页面不需要使用SSL。你提到的页面（登录，注册，更改密码）。

2011-05-06 10:44:12

-1不，你必须在每个页面使用ssl，否则你会泄露你的会话ID。这是违反OWASP a9规定的。请删除这些错误信息。 – rook 2012-12-10 02:50:01

从技术上讲，“关于我们”和“产品和服务”不需要会话，所以不需要发送会话ID（cookie可以这样配置，所以它们不会泄漏）。但即使是“关于我们”，也可能受益于SSL也提供的“真实性印章”。 – Thilo 2012-12-10 11:50:11

只需使全部页面SSL加密。

你可能有一个会话cookie，你永远不希望它通过未加密的连接发送。除此之外，没有理由不在每一页上使用SSL。

除此之外，如果地址栏中的“SSL图标”出现并且在几页更改中消失，则看起来很奇怪。

2011-05-06 09:50:49 ThiefMaster

但是这不是减速的事情吗？加载产品图像和所有其他细节，没有任何缓存，并且还发送加密的所有数据？ – morandi3 2011-05-06 13:52:14

只需发送积极的缓存标题。然后浏览器应该缓存这些图像，即使它们是通过SSL加载的。除非您的服务器真的很慢，并且您的网站的负载很大，否则加密不会以明显的方式减慢速度。 – ThiefMaster 2011-05-06 14:12:52

好吧，但如何处理搜索引擎https页？！这不是另一个问题吗？ – morandi3 2011-05-06 21:00:18

对所有页面使用SSL非常重要。 SSL不仅可以防止窃听，还可以确保内容不会被网络篡改。如果你不使用SSL，中间的人可以改变他想要的任何东西。想象一下以下场景：

用户请求页面A.中间人攻击可以改变页面A上的链接，使其指向他控制的服务器，进行高级钓鱼攻击。您的用户信任并遵循操纵的链接，因为它似乎来自页面A.没有SSL，用户无法辨别服务器输出是否被篡改。在这两个页面上使用SSL，只要用户关心浏览器警告（不幸的是，几乎没有人会这样做），这种攻击就不可能发生。

2011-05-06 10:45:48 Demento

回答