Могу ли я игнорировать / отказать в доступе https в определенные места моего приложения heroku?

Question

Я разрабатываю на Heroku сайт с парой поддоменов. Одним из них является регистрация (как в signup.myapp.com), которая требует доступа SSL - конечно! Но остальные субдомены, такие как www, не требуют https для доступа.

Проблема в том, что клиент приобрел только SSL-сертификат для signup.myapp.com. Это означает, что когда пользователь пытается получить доступ к другим местам моего сайта по протоколу https (например, https://www.myapp.com), SSL-сертификация не проверяется, и браузеры сообщают пользователю, что сайт может быть вредоносным ... не подходит для брендинга.

Я пытался перенаправить сайт с https на http, но, конечно, это не удалось, потому что перед отправкой перенаправления был проверен SSL.

Есть ли способ, с помощью которого я могу запретить доступ к этим местам моего сайта по https, чтобы вместо этого пользователи встретили страницу 404? Или вы знаете какие-либо другие способы справиться с этой ситуацией? (клиент не желает приобретать новый сертификат SSL, особенно сертификат с подстановочными знаками).

Answer 1

К сожалению, вам нужен сертификат для каждого из доменов (или подстановочный знак, как вы упомянули), см., Например:

• Как перенаправить https на http без какого-либо SSL-сертификата

Проблема в том, что сертификат проверяется первым, прежде чем что-либо еще произойдет.Если это не удается, браузер обычно отображает «вытащить меня отсюда!» - своего рода уведомление.Нет встроенной поддержки перехода SSL-не-SSL.

Вы можете отключить https://www.example.com (то есть, чтобы ваш веб-сервер не прослушивал порт 443), но это, конечно, победило 'т 404, также плохо подходит для брендинга.

Имея только один сертификат без подстановочных знаков, единственное, что вы можете сделать, это поместить все страницы в этот домен.Т.е. вместо https://signup.example.com/a/b/c, вам нужно сделать https://www.example.com/signup/a/b/c или что-то в этом духе.

С другой стороны, вы можете купить сертификат менее чем за 100 долларов в год (или всего за 150 долларов).в течение 2 лет) в GoDaddy:

• http://www.godaddy.com/ssl/ssl-certificates.aspx

, поэтому, в зависимости от вашего контекста, он может просто окупиться, а не заниматься какой-либо дополнительной разработкой.