Безопасно ли отправлять учетные данные, используя протокол HTTP, а не HTTPS?

Question

Безопасно ли отправлять HTTP-запрос POST, тело которого содержит незашифрованное имя пользователя и пароль, или HTTPS совершенно необходим?

Answer 1

HTTPS требуется. Весь HTTP-трафик можно прослушать.

Answer 2

Нет, HTTP сам по себе не обеспечивает никакой безопасности. Если кто-то сможет прочитать сетевой трафик, он сможет прочитать и учетные данные.

Сетевой трафик также может быть защищен отдельно, но вы не можете контролировать сеть. Но вы можете контролировать свое приложение. Так что HTTPS - это необходимость.

Answer 3

Никогда не безопасно отправлять незашифрованные, незашифрованные имя пользователя и пароль по проводам, к которым другие имеют доступ.

Хотя безопасно отправлять зашифрованные данные по HTTP, HTTPS сделает это за вас, предоставив вам дополнительное преимущество TLS . Учитывая, насколько хорошо он стоит теоретически и на практике, использовать его гораздо выгоднее, чем придумывать собственный алгоритм.