没有SSL证书

Question

我开发他们需要尽可能多的安全性可能的，因为他们将会把敏感信息在其公司后端部分。

他们问我补充SSL，这是我加入（该网站是在笨编码），但我不知道是否真的需要一个SSL证书。

铭记，这个网站将仅由一组两个不同的IP的可以接触，他们有我不认为会得到所需要的证书两个办事处。我对吗？

编辑2月24日： 数据有项目客户的信息，列表，以便它是敏感的。

所以我想我会使用自签名SSL去。

谢谢所有需要的

Answer 1

还有谁曾回答了几个其他的问题，你应该记住，除了那些：

1. 将这个网站的用户进行连接并通过在无线连接传输此敏感信息任何时间点？如果是这种情况，那么是的，你需要SSL。

2. HTTPS不上服务器等资源的负担，因为它曾经是。特别是，只有正在使用的在规定的地点数量有限的用户的网站，你当然应该能够为用户提供的最大数量。

3. 如果这是一个私人站点，并且成本是个问题，请使用自签名证书。 OpenSSL工具包是您最好的选择。许多使用OpenSSL设置自签名证书的指南都可用。

4. 这个敏感数据是否涉及法律问题？如果您使用电话号码，邮寄地址，电子邮件地址，登录信息（甚至更严重的是信用卡号码）在客户数据库中传输客户信息，则需要使用SSL。问问自己，你是否会相信谁传染你这个相同的信息，而无需SSL的公司。

5. 如果客户提出要求并付款，这对开发人员来说不是一个沉重的负担，而作为开发人员，您真的不希望处于您争取得少的职位安全。如果以后出现问题，它会回来咬你。覆盖你的后端。

6. 将此与IP限制访问相结合。如果可以，请在Apache配置级别执行此操作。如果没有，那么用.htaccess来做。为什么在Apache级别？同样，如果您忘记将限制放在.htaccess中，或者其他人不小心将其移除并将其移除，那么它将覆盖您的后端。

如果甚至有关于它的问题，请使用SSL。

Answer 2

SSL证书，因为可能会有人读的道路上你的服务器的请求内容。没有证书不能添加HTTPS的网页（检查是否有HTTPS协议在浏览器页面地址）。

在开发阶段，你可以自己生成的SSL证书（使用OpenSSL）有没有必要买一个有效。有将在该证书不被任何机构签署的浏览器的警告，但我不认为这是很大的问题。

Answer 3

如果您需要保护clinet-server通信（http请求/响应头和数据）不被听到，则需要在服务器上安装SSL，并使用https协议。当您想要隐藏用户凭证时这很有用。

如果只是允许上述IP地址/禁止访问，比它足以把它限制HTTP服务器配置（通常的.htaccess）。

请记住，https请求需要更多的服务器/客户端资源（CPU），因此如果不必要，不应使用它。