Vor einer Woche hat Google mir eine E-Mail gesendet, um HTTPS zu aktivieren. Wenn ich HTTP nicht an HTTPS übertragen möchte, wird meine Verbindung allen Besuchern meiner Site ungesichert angezeigt, die versuchen, Text in meine Site einzugeben.

Gibt es eine andere Möglichkeit, meine Verbindung ohne SSL zu sichern? Da die Verwendung von SSL in einer Web-URL mit hohen Kosten verbunden ist, suche ich stattdessen nach einer anderen Option.

Gibt es eine andere Möglichkeit, um meine Verbindung zu sichern?

Google beschwert sich nicht nur über "Sicherheit" (die eine Reihe von verschiedenen Themen umfassen könnte), sondern zielt speziell auf Verschlüsselung / HTTPS ab. Bei einfachem HTTP ist die Verbindung zwischen Client und Server unverschlüsselt, sodass jeder potenziell alles sehen und abfangen kann, was gesendet wird. Dies wird normalerweise nur angezeigt, wenn Sie Benutzern erlauben, sich anzumelden (z. B. Benutzername / Passwort einzugeben) oder Zahlungsinformationen über eine unverschlüsselte Verbindung einzugeben. Allgemeine "Text" -Formulareingaben wären nicht unbedingt ein Problem. Wie @Kevin jedoch in Kommentaren ausführte, plant Google / Chrome, dies in Zukunft zu erweitern :

Schließlich planen wir, alle HTTP-Seiten als nicht sicher zu kennzeichnen und den HTTP-Sicherheitsindikator in das rote Dreieck zu ändern, das wir für defekte HTTPS verwenden.

Die Installation eines SSL-Zertifikats auf Ihrer Site (oder die Verwendung eines Front-End-Proxys wie Cloudflare zur Verarbeitung der SLL) ist die einzige Möglichkeit, den Datenverkehr auf Ihrer Site zu verschlüsseln.

Dies ist heutzutage jedoch nicht unbedingt ein "kostspieliger Prozess". Cloudflare bietet eine "kostenlose" Option und Let's Encrypt ist eine kostenlose Zertifizierungsstelle, die von vielen Hosts standardmäßig unterstützt wird.

Ich empfehle nicht, aber Sie können diese Meldung umgehen, indem Sie nicht die ursprünglichen Eingabetextfelder verwenden. Sie können mit regular divthat have onkeypressevent Ihre eigenen Eingabefelder erstellen . Sie können auch ein divElement erstellen , für das das contenteditableAttribut festgelegt ist true.

Auf diese Weise können die Benutzer Informationen auf Ihrer Site eingeben, ohne inputTag-Elemente zu verwenden.

Wenn Sie nur statische Dateien bereitstellen oder einen Proxy voranstellen können, können Sie einen Server wie einen Caddy-Server verwenden, der all dies für Sie erledigt, indem Sie lets encrypt verwenden. Dies entlastet die Bereitstellung von Zertifikaten und Sie müssen dies nicht Installieren Sie eine andere Software.

Alternativ können Sie auch einen Service wie Cloudflare nutzen - der kostenlose Tarif bietet kostenloses https.

Schließlich bieten einige Hosts jetzt kostenlose https-Zertifikate an, einschließlich dreamhost . Prüfen Sie also, ob Ihr aktueller Host dies als Option anbietet.

Ich würde nicht empfehlen, nach einer Problemumgehung zu suchen. Es gibt nur einen Weg, um Ihre Site sicher zu machen, und Browser werden schließlich auf jeder Site, die kein https hat, eine Warnung anzeigen, unabhängig vom Inhalt. Das Web bewegt sich überall in Richtung https.

niemand anderes scheint erwähnt zu haben,

wenn Sie jeden Computer besitzen, der eine Verbindung zu Ihrer Site herstellt

Wie in einer Unternehmenseinstellung können Sie eine eigene Zertifizierungsstelle erstellen und das öffentliche Zertifikat auf allen Computern installieren (auch auf allen Browsern und Zertifizierungsspeichern), die eine Verbindung zu Ihrer Site herstellen. Diese Option ist frei von Monetarisierung durch Dritte. Es ist die gleiche Verschlüsselung, Sie werden jedoch nicht in der öffentlichen Vertrauensstellung angemeldet (z. B. wird Ihre Berechtigung nicht von Google Chrome, Mozillas Firefox usw. wie bei Let's Encrypts erkannt), sondern von Computern, die Sie so konfiguriert haben, dass Sie sich selbst vertrauen .

Zugegeben, die Abmachungen für die Einrichtung einer Zertifizierungsstelle sind schwierig, etwas unklar, und die Wartung kann eine Menge Arbeit bedeuten. Ich lasse sie hier weg, wahrscheinlich ist es das Beste, wenn Sie sich eingehend mit dem Thema befassen, an dem Sie wirklich interessiert sind bei diesem Ansatz.

Für eine Nieve-Bereitstellung, wenn Sie XCA ausprobieren können

• Für Debian: https://packages.debian.org/stretch/xca
• offizielle Seite: http://xca.sourceforge.net/

XCS ist eine gute Möglichkeit, Zertifikate für kleine Bereitstellungen auszustellen, und enthält eine Hilfedokumentation, die das gesamte Setup durchläuft.

Ich habe ein paar Ideen.

Wenn der Grund für HTTPS die Verwaltung von Anmeldungen ist, können Sie die Auswirkungen auf alle Browser minimieren, indem Sie den Benutzern die Möglichkeit geben, angemeldet zu bleiben. Wenn sich ein Benutzer anmeldet, kann ein Cookie dauerhaft auf dem Computer des Benutzers gespeichert werden, damit der Benutzer es beim nächsten Mal tut Wenn er seinen Computer einschaltet, um auf die Site zuzugreifen, wird er automatisch angemeldet, anstatt immer eine Anmeldeaufforderung und möglicherweise eine Sicherheitswarnung zu erhalten.

Eine andere Idee, die die Nachricht umgehen kann, aber sowohl für den Gast als auch für den Server mehr Arbeit bedeutet, ist, dass ein Gast eine spezielle Datei mit der richtigen verschlüsselten Konfiguration hochlädt. Wenn Sie beispielsweise den Anmeldebildschirm aufrufen möchten, müssen Sie den Benutzer nicht auffordern, seinen Benutzernamen und sein Kennwort in zwei Textfeldern einzugeben, sondern eine kleine Datei hochladen, die seinen Benutzernamen und sein Kennwort verschlüsselt enthält (z. B. Komprimieren des Benutzernamens und des Kennworts als ZIP-Datei) Datei mit einer bestimmten Komprimierungsstufe), dann kann der Server die Datei entschlüsseln, um den Benutzernamen und das Kennwort zu extrahieren. Der potenzielle Hacker sieht während der Übertragung Kauderwelsch, wenn der Benutzer die Datei an den Server sendet. Ein kleiner Vorteil dieser Idee ist eine etwas schnellere Verbindungsgeschwindigkeit, da die SSL-Verbindungsverarbeitung nicht in HTTP stattfindet.

Nein.

Jeder Hack, den Sie versuchen (z. B. versuchen, mit Javascript zu verschlüsseln), ist sehr unwahrscheinlich, dass er auch nur annähernd sicher ist.

SSL muss nicht "teuer" sein, viele Hosting-Anbieter bieten es kostenlos an. Und selbst Dinge wie Cloudflare bieten kostenloses SSL und behalten das aktuelle Hosting bei.

Eine kostenlose und schnelle Lösung ist Let's Encrypt. Link Sie haben Dokumentation für fast jedes Server-Betriebssystem. Wir verwenden es bei unserer Arbeit und unsere W2P-Anbieter verwenden es, um jede unserer Storefronts zu sichern.