Переходи на HTTPS!

Владимир Кузнецов (@mistakster), Graph

Переходи на HTTPS!

Владимир Кузнецов, @mistakster, Graph

4front meetup #8, август 2015

Как получить сертификат

выбираем центр сертификации
(Certification Authority или CA);
генерируем приватный ключ;
генерируем запрос на выдачу сертификата
(Certificate Signing Request или CSR);
отправляем запрос в центр сертификации.

Чек-лист

длина ключа ≥ 2048 бит;
алгоритм подписи сертификата SHA256;
есть все промежуточные сертификаты;
включены правильные наборы шифров;
DH params ≥ 2048 бит;
включен Online Certificate Status Protocol (OCSP stapling);
заголовок Strict-Transport-Security (HSTS).

Генератор конфигурации

mozilla.github.io/server-side-tls/ssl-config-generator

Серверы: Apache, Nginx, HAProxy, AWS ELB.

Набор протоколов и шифров в зависимости от выбранной категории браузеров (новые, популярные, старые).

Аудит настроек сервера

www.ssllabs.com/ssltest

Let’s Encrypt

letsencrypt.org

Зачем вообще нужен HTTPS?

С точки зрения пользователя

Наличие HTTPS на сайте вселяет некую надежду, что:

пароли или номера банковских карт и другая персональная информация не будет перехвачена по сети;
мне не подсунут фишинговый сайт.

С точки зрения бизнеса

одни сплошные расходы!

С точки зрения бизнеса

одни сплошные расходы!
лояльность пользователей;
Google показывает HTTPS-сайт выше в поисковой выдаче.

С точки зрения разработчика

протоколы SPDY и HTTP/2;
Service Workers.

SPDY и HTTP/2

http2.akamai.com/demo

SPDY и HTTP/2

экономия на создании подключения и выполнении запроса;
приоритезация загрузки ресурсов;
загружаем то, что действительно нужно.

SPDY и HTTP/2

Доступны в последних версиях всех основных браузеров.

SPDY и HTTP/2

Поддержка сервере

SPDY	Apache, Nginx и многие другие
HTTP/2	OpenLiteSpeed, много альтернативных реализаций, мажорные серверы на подходе

Service Workers

Service Workers

перехват и обработка сетевых запросов,
включая управление кешированием ресурсов;
работа в режиме offline;
Push-уведомления.

Service Workers

Статья: Introduction to Service Worker
Видео: Supercharging page load

Производители браузеров нас «нежно» подталкивают

Производители браузеров нас «нежно» подталкивают

Они планируют давать доступ к новым технологиям
только при наличии защищенного соединения —
«Deprecating Non-Secure HTTP»

Переходи на HTTPS!

Владимир Кузнецов

@mistakster (English)
@mista_k (больше про жизнь)

Слайды презентации: goo.gl/eCylrw