Безопасно ли перенаправлять не ssl-запросы в ssl-версию сайта? - PullRequest
0 голосов
/ 09 марта 2020

Есть API. Ранее все запросы были сделаны не через ssl соединение (использовалась подпись) - http://api.com/dosomething. Логика c изменилась. Теперь немного поменять URL для всех клиентов, которые используют этот API. Существует https версия сайта API. Безопасно ли перенаправлять все запросы http://api.com/dosomething на https://api.com/dosomething на стороне сервера (apache или nginx)? Как это работает?

1 Ответ

2 голосов
/ 10 марта 2020

Ваш потребитель API передает все в открытом виде: все свои данные, аутентификацию и т. Д. c. А на вашем новом сервере вы перенаправляете на «тот же» URL, просто используя https? Соединение https теперь будет безопасным, но все ваши данные и аутентификация давно просочились.

Поскольку мы ничего не знаем о вашем клиенте API, технически это может быть веб-браузер, поддерживающий «безопасные» куки-файлы, например, он может не передавать аутентификацию в открытом виде. Но все же, все данные будут уже вне. Поскольку вы говорите, что не можете обновить клиентов, я предполагаю, что вы не находитесь в такой ситуации.

Итак: ответ - нет, это небезопасно. Удалите старый API, отслеживайте всех, кто к нему обращается. Как только их станет достаточно, сообщите им о прекращении службы http, чтобы они обновились. Или останься в безопасности - выбери свой яд.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...