VolkerK прав, но его ответ ошибочен. Сеанс может быть скомпрометирован всеми видами методов. Есть способы обойти это (например, использовать кэшированную клиентскую часть javascript для генерации хешей против фиксированной соли запроса, генерируемого на каждой странице), но они беспорядочные. Безусловно, самое простое решение - всегда использовать SSL. Однако вы можете рассмотреть возможность использования дайджест-аутентификации в сочетании с файлом cookie сеанса.
Тор Валамо не прав. В наши дни пропускная способность очень дешевая, однако трудно добиться устранения задержки - а задержка является основным фактором, определяющим скорость передачи HTTP (где большая часть контента относительно мала). Для HTTP-запроса к серверу необходимо выполнить не менее двух циклов - квитирование TCP, а затем запрос / ответ. Он будет варьироваться в зависимости от размера файлов и других факторов, но обычно задержка прохождения туда и обратно составляет 50-70% от времени, затраченного на выборку объекта.
Использование Keep-alives исключает одно из обращений и, следовательно, значительно повышает пропускную способность.
При использовании SSL требуется как минимум одна дополнительная передача в оба конца (для возобновления существующего сеанса SSL) и более одной для первоначального согласования SSL. Настоящим убийцей является то, что нестандартная реализация SSL в Microsoft означает, что вы не можете использовать keep-alives для чего-либо кроме MSIIS при общении с клиентом MSIE (дополнительную информацию см. В документации mod_ssl).