Переходи на HTTPS!

Владимир Кузнецов (@mista_k), Graph

Переходи на HTTPS!

Владимир Кузнецов, @mistakster, Graph

ChellyJS #1, июнь 2015

Как получить сертификат

выбираем центр сертификации
(Certification Authority или CA);
генерируем приватный ключ;
генерируем запрос на выдачу сертификата
(Certificate Signing Request или CSR);
отправляем запрос в центр сертификации.

Чек-лист

длина ключа ≥ 2048 бит;
алгоритм подписи сертификата SHA256;
есть все промежуточные сертификаты;
включены правильные наборы шифров;
DH params ≥ 2048 бит;
включен Online Certificate Status Protocol (OCSP stapling);
заголовок Strict-Transport-Security (HSTS).

Генератор конфигурации

mozilla.github.io/server-side-tls/ssl-config-generator

Серверы: Apache, Nginx, HAProxy, AWS ELB.

Набор протоколов и шифров в зависимости от выбранной категории браузеров (новые, популярные, старые).

Аудит настроек сервера

www.ssllabs.com/ssltest

Зачем вообще нужен HTTPS?

С точки зрения пользователя

Наличие HTTPS на сайте вселяет некую надежду, что:

пароли или номера банковских карт и другая персональная информация не будет перехвачена по сети;
мне не подсунут фишинговый сайт.

С точки зрения бизнеса

одни сплошные расходы!

С точки зрения бизнеса

одни сплошные расходы!
лояльность пользователей;
Google показывает HTTPS-сайт выше в поисковой выдаче.

С точки зрения разработчика

протоколы SPDY и HTTP/2;
Service Workers.

Разработчики браузеров планируют давать доступ к новым технологиям только при наличии защищенного соединения — «Deprecating Non-Secure HTTP»

SPDY и HTTP/2

http2.akamai.com/demo

SPDY и HTTP/2

экономия на создании подключения и выполнении запроса;
приоритезация загрузки ресурсов;
загружаем то, что действительно нужно.

SPDY и HTTP/2

Доступны в последних версиях браузеров.

Поддержка сервере:
SPDY — Apache, Nginx и многие другие;
HTTP/2 — OpenLiteSpeed (остальные на подходе).

Service Workers

Service Workers

перехват и обработка сетевых запросов,
включая управление кешированием ресурсов;
работа в режиме offline;
Push-уведомления.

Service Workers

Статья: Introduction to Service Worker
Видео: Supercharging page load

Переходи на HTTPS!

Владимир Кузнецов

@mistakster (English)
@mista_k (больше про жизнь)

Слайды презентации: goo.gl/eYKQms