Mit Cloudflare können Sie Ihre Site über SSL bereitstellen, ohne ein Sicherheitszertifikat erwerben und installieren zu müssen. Dieses Produkt wird als „flexibles SSL“ bezeichnet . (Sie fungieren als Proxy und dienen Ihrer Site über SSL von ihren Servern aus, während die Verbindung von Ihrem Server zu ihren Servern unverschlüsselt bleibt.)
Sie bieten derzeit Flexibles SSL kostenlos an .
Mit der Ankündigung von Google, dass HTTPS jetzt ein Ranking-Signal ist , erwäge ich, mehrere Websites auf Cloudflare umzustellen, ein Pro-Konto zu kaufen und die Option „Flexibles SSL“ zu aktivieren, da dies der einfachste Weg ist, mehrere Websites über HTTPS ohne zu beliefern mehrere Zertifikate erwerben und verwalten müssen.
Gibt es Nachteile von Cloudflares flexiblem SSL?
Ich bin mit Cloudflare als Proxy vertraut - ich interessiere mich mehr für zwei Faktoren:
- Die Erfahrung für Endbenutzer. (zB Werden Besucher Sicherheitswarnungen sehen?)
- Das angebotene Sicherheitsniveau. (Genug für ein einfaches Blog, aber nicht für einen Online-Shop, weil sie Kreditkartendaten von ihrem Server unverschlüsselt an Ihren Server weiterleiten würden?)
quelle
Antworten:
Flexibles SSL ist NICHT vollständig sicher
Das flexible SSL von CloudFlare bietet Verschlüsselung vom Benutzer zu den Servern von CloudFlare, nicht jedoch von deren Servern zum Website-Server. Dies erspart Ihnen die mühsame Installation (und Erneuerung) eines Zertifikats auf Ihrem Webserver, bedeutet jedoch, dass der Datenverkehr in der zweiten Hälfte der Reise im Klartext gesendet wird.
Die Vorteile dieses Setups sind:
Die inhärenten Probleme sind:
Vergleich der SSL-Einstellungen
Das Nichtverschlüsseln des Datenverkehrs zwischen einem Proxy- und einem Back-End-Server ist üblich, wenn der Datenverkehr über ein privates, sicheres Netzwerk gesendet wird. In diesem Fall leiten Sie den Datenverkehr jedoch über das öffentliche Internet.
CloudFlare empfiehlt, dass Sie auch ein Zertifikat auf Ihrem Webserver für eine echte End-to-End-Verschlüsselung installieren und dafür sogar kostenlose Zertifikate über das Dashboard bereitstellen (wenn Sie kein selbstsigniertes Zertifikat installieren möchten). Aus der Diskussion im CloudFlare-Blog :
Unabhängig davon, ob "Full" oder "Flexible" SSL verwendet wird, sollten Ihre Benutzer kein Popup oder andere Warnungen sehen.
quelle
Dieser Link erläutert die CloudFlare-SSL-Optionen .
Zumindest zu diesem Zeitpunkt verschlüsselt flexibles SSL nicht vollständig auf Ihrem Server. Das im Blog von Matthew diskutierte Problem ("Tatsächlich stellen wir ein kostenloses Zertifikat zur Verfügung, das an die Domain gebunden ist, die Sie auf Ihrem Server für End-to-End-Krypto ... kostenlos installieren können.") Ist nicht ". Noch nicht verfügbar.
Wir werden den Inhalt mit Sicherheit aktualisieren, um etwaige Änderungen zu berücksichtigen, wenn wir die kostenlose SSL-Option einführen.
quelle
Es gibt einen großen SEO-Nachteil. Google sagte , dass es SSL - Sites favorisiert aber das Zertifikat sollte 2048 Bit sein CloudFlare „flexible SSL“ ist nicht 2048 Bit.
quelle