我的最后几个项目涉及销售产品/服务并需要"结帐"过程的网站，在该过程中，用户输入了他们的信用卡信息等。显然，我们获得了SSL证书以确保其安全性，并让客户放心。但是，我对它的微妙之处一无所知，最重要的是，网站的哪些部分应"使用"证书。

例如，我去过一些网站，在我们访问主页后，我们首先被放置在https(主要是银行网站)中，然后当我们最终结帐时，有些网站仅被放置在https中。如果它不处理银行级别的某些事情，是否使整个网站都通过https运行是否矫kill过正？我应该只将结帐页面设为https吗？全力以赴对性能有何影响？

解决方案

我认为一个好的经验法则是在可能传输敏感信息的任何地方强制使用SSL。例如：我是Wescom Credit Union的成员。主页上有一个部分，允许我登录到我的在线银行帐户。因此，根页面强制使用SSL。

这样想：敏感的私人信息会被传输吗？如果是，请启用SSL。否则你应该没事的。

我只在需要用户输入敏感信息时才将网站重定向到SSL。有了购物车，他们必须填写其个人信息或者信用卡详细信息的页面后，我便将其重定向到SSL页面。
对于网站的其余部分，如果他们只是在商务网站上查看信息/产品，则可能不需要。

如果该站点供公共使用，则可能应将公共部分放在HTTP上。对于蜘蛛和临时用户而言，这使事情变得更加轻松和高效。 HTTP请求的发起速度比HTTPS发起的速度快得多，这一点非常明显，尤其是在具有大量图像的网站上。

对于HTTPS，浏览器有时还具有与HTTP不同的缓存策略。

但是可以在它们登录后立即将HTTPS放入HTTPS，也可以在登录之前将它们放入HTTPS。在站点变得个性化和非匿名时，从此以后可以是HTTPS。

最好将HTTPS用于登录页面本身以及任何其他形式，因为它可以在输入信息之前使用挂锁，从而使他们感觉更好。

SSL占用大量计算资源，并且如果可能的话，不应用于传输大量数据。因此，最好在结帐阶段将其启用，在结帐阶段，用户将传输敏感信息。

通常，无论何时我们传输敏感或者个人数据，都应使用SSL，例如将商品添加到购物篮中可能不需要SSL，使用用户名/密码登录或者输入抄送详细信息都应进行加密。

在我们的组织中，我们将应用分为三类-

• 低业务影响-无PII，明文存储，明文传输，无访问限制。
• 中等业务影响力-非交易性PII，例如电子邮件地址。明文存储，从数据中心到客户端的SSL，数据中心中的明文，有限的存储访问。
• 高业务影响力-交易数据，例如SSN，信用卡等。数据中心内部和外部的SSL。加密和审核的存储。审核的应用程序。

我们使用这些标准来确定数据分区，以及网站的哪些方面需要SSL。 SSL的计算可以在服务器上完成，也可以通过Netscaler等加速器完成。随着PII级别的增加，审计和威胁建模的复杂性也随之增加。

可以想象，我们更喜欢LBI应用程序。

我个人使用"从头到尾的SSL"。

如果用户从不输入信用卡号，请确保没有SSL。

但是cookie重播会固有地导致安全漏洞。

• 用户访问网站并获得Cookie。
• 用户浏览站点并将数据添加到购物车(使用cookie)
• 用户使用cookie进入付款页面。

就在这里，这是一个问题，尤其是如果我们必须自己进行付款协商时。

我们必须将信息从非安全域传输到安全域，然后再传输回来，而不能保证得到保护。

如果我们像使用安全性一样愚蠢地共享不安全的cookie，则可能会发现某些浏览器(正确地)出于安全性考虑将cookie完全删除(Safari)，因为如果有人在公开场合嗅探该cookie， ，他们可以伪造它并在安全模式下使用它，从而将我们出色的SSL安全性降级为0，并且即使Card的详细信息甚至暂时存储在会话中，也有可能发生危险的泄漏。

如果不能确定软件不容易受到这些弱点的影响，我建议从一开始就建议使用SSL，这样，它们的初始cookie就会以安全的方式进行传输。

我也将一路使用HTTPS。这不会对性能造成很大的影响(因为浏览器在第一次连接后会缓存经过协商的对称密钥)，并且可以防止嗅探。

嗅探曾经由于完全交换的有线网络而消失，在这种情况下，我们必须付出更多的努力才能捕获其他人的流量(与使用集线器的网络相对)，但是由于无线网络的发展，嗅探正在回溯。广播媒体再次使会话劫持变得容易，除非流量被加密。

我一直在整个网站上做到这一点。

肯特钉牢了它。我只想发表一个简短的评论-我认为Amazon做得很好。该网站的大多数网站都使用http，但是当需要结帐时，我们需要重新登录(oneclick有所不同)，此时可能存在一个不同的cookie。我认为其他评论也说了同样的话，但我只是想举一个具体的例子。