受SSL保护的网站最佳做法

Question

我有一个使用SSL证书保护的网站(www.mydomain.com).它是一个ASP.NET网站,我强制要求某些页面通过代码使用https://前缀.如果他们不这样做,它会将它们重定向到https://等效.这是一个好习惯吗？有更简单的方法吗？并非每个页面都需要SSL.

此外,当用户以mydomain.com而不是www.mydomain.com的形式使用我的URL时,他们会收到证书错误,因为证书已在www.mydomain.com注册.我应该使用与上面提到的http://和https://问题相同的方法吗？或者有更好的方法来处理这个问题吗？

Answer 1

你的方法听起来不错。在我当前的项目中，当用户转到我的登录页面时，我强制使用 HTTPS（基于配置标志，它允许我在本地进行测试而无需处理证书）。这允许我访问其他不安全的页面，这很方便。

我的服务器在几个地方获取其他页面的输出（例如渲染为 html 到 PDF 并获取动态图像）。由于我们的环境，我们的服务器无法解析它的公共名称，因此如果我们要在站点上强制使用 ssl，我们必须添加我们的内部 IP 地址（或伪造域名）。

至于你的第二个问题，你有两种选择来处理 www.example.com 和 example.com。您可以购买允许您拥有多个域名的证书。这些证书称为 UCC 证书。

您的第二个选择是将 example.com 重定向到 www.example.com 或反之亦然。如果希望您的内容被谷歌或​​其他搜索引擎索引，重定向是一个不错的选择。因为他们会将 www.example.com 和 example.com 视为两个单独的站点。这意味着指向您网站的链接将被分割，从而降低您的整体页面排名。