Kommentare zu: Kostenloses SSL-Zertifikat holen und einrichten

Von: Milton Mancherian

Milton Mancherian — Tue, 11 Oct 2011 10:03:29 +0000

Ich habe seit kurzer Zeit einen Internetshop in Betrieb genommen. So langsam läuft der Shop an und die ersten Konsumenten kaufen ein. Bis jetzt habe ich mir jedoch noch keine Gedanken um die Sicherheit der Daten von meinen Kunden gemacht. Bei einem Bekannten der auch einen Onlineshop besitzt gab es schon Probleme aufgrund dessen hat er sich eine Massen Verifikation installieren lassen. Was meint ihr ab wann lohnt es sich so ein Zertifikat zu erwerben und einzusetzen ??

Von: Linkhub – Woche 09-2010 « pehbehbeh

Linkhub – Woche 09-2010 « pehbehbeh — Sun, 07 Mar 2010 16:48:54 +0000

[...] Kostenloses SSL-Zertifikat holen und einrichten. [...]

Von: uberVU - social comments

uberVU - social comments — Mon, 01 Mar 2010 22:25:15 +0000

Social comments and analytics for this post…

This post was mentioned on Twitter by PHPGangsta: Neuer Blogartikel: Kostenloses SSL-Zertifikat holen und einrichten ( http://www.phpgangsta.de/1042 )…

Von: Michael Kliewe

Michael Kliewe — Mon, 01 Mar 2010 21:08:04 +0000

Ja, bei anderen Domains (CDN-Domains oder Subdomains) für statische Dateien ist es etwas aufwändiger, da muss man schon etwas tricksen in der Applikation.

Noch komplizierter wird es wenn man dann auch noch einen extra ReverseProxy zum SSL-Offloading davorschaltet (siehe das nginx-Beispiel oben), dann sieht der Applikationsserver immer nur nicht-verschlüsselte Verbindungen vom Proxy.
Da müßte man dann glaub ich entweder einen speziellen Header mitsenden zum Applikationsserver wenn die Clientverbindung verschlüsselt ist, oder der Proxy parst den HTML-Code nach Links und ersetzt die entsprechenden URLs durch verschlüsselte Links. (Stichwort ProxyHTMLURLMap)

In nginx wäre das zB:
proxy_set_header X-Forwarded-Protocol https;

Hier gibts gute Infos dazu:
http://www.apachetutor.org/admin/reverseproxies
http://yuji.wordpress.com/2008/08/15/django-nginx-making-ssl-work-on-django-behind-a-reverse-proxy/

Von: kostaki

kostaki — Mon, 01 Mar 2010 19:40:48 +0000

Natürlich gehört es nicht in den Code, aber ruft doch zum Beispiel mal diese Seite per https auf und guck euch den Quellcode an. Dort sind mehrere Objekte noch per per http verlinkt und deshalb gibt der IE ne Warnung aus (Firefox macht es etwas gesitteter). Außerdem lässt es sich nicht vermeiden die gesamte URL anzugeben wenn man Content auslagern möchte.

Von: Ben Rexin

Ben Rexin — Mon, 01 Mar 2010 18:46:21 +0000

Ich denke das “kann aufwändiger werden. So müssen zum Beispiel alle eingebundenen Objekte (Bilder/CSS/Js) auch SSL verschlüsselt sein damit der IE nicht diese sch*** Warnbox ausgibt.” ist gemeint. Ich würde auch meinen das der überwiegende Teil schlicht relativ eingebunden wird. Und somit das Problem nicht auftritt. HTTP || HTTPS gehört also nicht in den Quellcode.

Von: Michael Kliewe

Michael Kliewe — Mon, 01 Mar 2010 17:32:35 +0000

Deine Aussage verstehe ich nicht Roman, kannst du mich aufklären? Was gehört deiner Meinung nach nicht mit in den Quellcode?

Von: Roman

Roman — Mon, 01 Mar 2010 16:14:26 +0000

Gehört das wirklich mit in den Quellcode?

Von: kostaki

kostaki — Mon, 01 Mar 2010 13:43:30 +0000

SSL auf dem Server einrichten ist meist der einfache Teil, aber die Projekteinbindung, besonders im nach hinein, kann aufwändiger werden. So müssen zum Beispiel alle eingebundenen Objekte (Bilder/CSS/Js) auch SSL verschlüsselt sein damit der IE nicht diese sch*** Warnbox ausgibt. Richtig spaßig wird es wenn man Contentserver mit unterschiedlichen Domainnamen benutzt.

Von: Norbert

Norbert — Mon, 01 Mar 2010 11:50:57 +0000

Habe ich leider nicht; aber ganz unbedeutend ist es wohl nicht, sonst wäre diese Info nicht im Apache Manual zu finden:

http://httpd.apache.org/docs/2.0/ssl/ssl_faq.html#aboutssl

Aber da du deine Seite umgestellt hast … mach doch einfach einen Test.

Von: Michael Kliewe

Michael Kliewe — Mon, 01 Mar 2010 11:28:42 +0000

Hast du da verlässliche Zahlen ab wievielen Verbindungen das wirklich auffällt? Das müssen schon einige tausend sein, siehe
http://www.o3magazine.com/4/a/0/2.html

Von: Norbert

Norbert — Mon, 01 Mar 2010 11:04:38 +0000

Du kannst noch erwähnen, dass die server load steigt. Schließlich wird alles, was übertragen wird, verschlüsselt und das wird bei vielbesuchten Seiten den ein oder anderen zusätzlichen Server kosten.

Wenn man auf die Performance schauen muss, dann sollte man die SSL-Verbindungen nach dem Motto “sowenig wie möglich, soviel wie notig” einsetzen.

Die Gratis-Zertifikate schau ich mir mal an

Grüße