Есть ли хорошие уроки для начинающих по использованию SSL с вашим веб-приложением? - PullRequest
7 голосов
/ 21 июня 2010

У меня есть программа, написанная на PHP, и я хотел бы убедиться, что все страницы входа и т. Д. Обслуживаются по SSL.Есть ли хорошее начало для завершения учебника для этого?

Кроме того, это как-то влияет на мой код или это просто вопрос получения сертификата SSL и правильной настройки сервера?*

Ответы [ 3 ]

4 голосов
/ 22 июня 2010

Если ваш HTML-код содержит абсолютные URL (" http: // my-domain.com / ...") для:

  • таблицы стилей
  • изображения
  • JavaScripts

Браузеры будут жаловаться: «Эта страница содержит как безопасные, так и незащищенные элементы».
Используйте относительные URL, если можете, или ссылку на URL-адреса " https: // my-domain.com / ...".

Используйте бесплатные сертификаты

Вам не нужно тратить деньги, чтобы получить действительный сертификат SSL:

Позвольте зашифровать
Let’s Encrypt - это бесплатный, автоматизированный и открытый центр сертификации.

Это зависит от того, насколько легко настроить хостинг, это может быть просто флажок.
Процесс хорошо документирован на https://letsencrypt.org/

StartSSL
Для более традиционных сертификатов вы можете получить «StartSSL ™ Free» от StartCom .
На сайте также содержится информация об установке сертификата.

1 голос
/ 22 июня 2010

Сначала слово предупреждения.если вы планируете использовать SSL, потому что вам есть что защищать.Поэтому найдите время, чтобы понять, что вы делаете на каждом этапе пути.Безопасность (не только SSL) - это минное поле даже для опытных.

Я не знаю ни одного учебного пособия, но есть множество хитростей, о которых вам следует знать.

ПодкатываяСобственный ssl-сертификат для тестирования бесплатный, но вам нужно будет установить его на свой сервер.

В большинстве случаев ваш код не обязательно должен отличаться для ssl-страницы или не ssl, поскольку сам код не зависит от ssl, но, как говорит Боб, вы должны быть осторожны с такими вещами, как изображения.

Также перенаправления могут вызывать всплывающие окна, предупреждающие пользователя о перенаправлениях.

Чтобы проверить, вызывается ли код из браузера, используя проверку SSL для флага SSL $ _SERVER ['HTTPS'] thisдолжно быть непустым значением, если используется SSL.

$ssl_is_on = $_SERVER['HTTPS'] ? true:false;

Лично я предпочитаю хранить свой код SSL в отдельной папке и использовать apache для направления всех соединений SSL в эту папку.таким образом, я могу быть уверен, что сценарий, который должен быть защищен с помощью SSL, не вызывается из соединения без SSL.

Если вы входите в систему с использованием SSL и затем перенаправляете их на страницы без SSL, возможно, вам придется зарегистрироватьсянапример, для доменов и файлов cookie я всегда использую другой домен для ssl, как правило, https; // secure.blah.com, а затем перенаправляю их на незащищенный домен http; // www.blah.com, поэтому ваш домен cookie должен бытьblah.com по умолчанию используется полное доменное имя, что означает, что файлы cookie для secure.blah.com не будут отправляться на www.blah.com, и поэтому ваши пользователи никогда не будут входить в систему.

Не использоватьэтот метод, если вы используете общее доменное имя, в противном случае у вас могут возникнуть проблемы с утечкой информации о cookie.

DC

0 голосов
/ 21 июня 2010

Это не должно повлиять на ваш код.Добавьте правила modrewrite в вашу конфигурацию Apache.Да, просто получите сертификат SSL (вам нужно будет заплатить за его подпись Verisign или другим центром сертификации).

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...