Google, die wichtigste Suchmaschine des Internets (das sowohl Bing als auch Yahoo in den Schatten stellt) und der von den meisten Internetnutzern verwendete Browser, hat auf eine reine HTTPS-Welt gedrängt, indem der Seitenrang für Websites ohne HTTPS gesenkt wurde und Hinzufügen einer Browser-Warnung, wenn eine Site nicht sicher ist. Das Verhältnis von HTTPS-Sites zu "Nicht" ist jedoch immer noch viel zu niedrig, um eine HTTPS-First-Richtlinie für alle zu empfehlen, da Benutzer ziemlich ständig beängstigende "Zertifikatfehler" -Nachrichten oder "Verbindung abgelehnt" -Fehler erhalten.

Bis Google eine HTTPS-First-Richtlinie für Browserverbindungen empfiehlt, ist es unwahrscheinlich, dass Firefox, Apple oder Microsoft solche Richtlinien empfehlen, und dies ist wahrscheinlich erst bei einer anständigen Mehrheit (möglicherweise 70% oder mehr) der Top-Websites der Fall sind HTTPS-fähig, was eine enorme Steigerung gegenüber den ~ 50% der Top-Sites darstellt, die heute über HTTPS verfügen.

Die meisten Benutzer, die Ihre HTTP-Site absichtlich oder versehentlich besuchen, werden begrüßt Wenn der Fehler "Verbindung abgelehnt" vorliegt, wird wahrscheinlich eine andere Site angezeigt. Ich habe hier keine gute Möglichkeit, konkrete Zahlen zu erhalten, aber es ist wahrscheinlich, dass 70-90% der Internetnutzer ohne automatische Umleitung nicht herausfinden würden, dass die Site keinen HTTP-Port hat. Der Rest ist wahrscheinlich entweder technisch kompetent genug, um zu erkennen, dass er HTTPS benötigt, oder er verwendet HTTPS Everywhere und würde es sowieso nicht bemerken.

Verwenden Sie definitiv HSTS, definitiv 301-Weiterleitung zu HTTPS-Ressourcen (301 zeigt einen dauerhaften Umzug an Für Browser, damit sie sich an diese Einstellung "erinnern"), raten Sie Ihren Benutzern auf jeden Fall, sicherzustellen, dass sie ein Vorhängeschloss sehen und das Zertifikat usw. überprüfen. Blockieren Sie Port 80 zu diesem Zeitpunkt noch nicht, da das Internet dafür einfach noch nicht bereit ist .

Soweit ich weiß, gibt es keine größeren Sites, die HTTP deaktiviert und Port 80 blockiert haben. Wenn Sie dies tun, brechen Sie die Benutzererwartung (an die die Site Sie weiterleitet) eine sichere Site), und da die meisten Benutzer nicht wissen, was sie hier tun sollen, weil sie keine freundliche Fehlermeldung erhalten, gehen sie einfach davon aus, dass Ihre Site kaputt ist, und fahren fort.

Sie sollten Port 80 nicht schließen. Stattdessen sollten Sie Ihren Server so konfigurieren, dass HTTP-Port 80 auf HTTPS-Port 443 umgeleitet wird, um TLS zu verwenden. Sie können optional HSTS (HTTP Strict Transport Security) verwenden, um den Browsern mitzuteilen, dass sie künftig nur noch TLS verwenden sollen, wenn eine Verbindung zu Ihrer Site hergestellt wird.

Port 80 ist nicht unsicher offen sein. Sicherheitsprobleme treten nur auf, wenn der Webserver Anforderungen über eine unverschlüsselte Verbindung bereitstellt, insbesondere wenn diese Anforderungen vertrauliche Daten enthalten. Es ist absolut sicher, dass Port 80 geöffnet ist und nur eine HTTP-Umleitung sendet.

Kurz gesagt: Halten Sie es normalerweise offen und verwenden Sie es, um alles zu HTTPS umzuleiten.

Nun zu Das komplizierte Zeug : Das Entfernen von Port 80 kann Cookie-Diebe stoppen, die passiv nach straggle http://corp.com/some/forgotten/thing -Anfragen suchen. Die TCP-Verbindung ist nicht erfolgreich, der Browser sendet das GET und die Cookies nicht und der Bösewicht kann sie nicht lesen.

Manchmal ist dies eine vernünftige Schutzmaßnahme, insbesondere in Bezug auf Unternehmensumgebungen: Legacy-Apps , HSTS nur teilweise implementiert, Cookies, denen möglicherweise das sichere Flag oder Pfad- oder Host-Einschränkungen fehlt, gehostete oder Proxy-Dritte, ...

Nun, sollten Sie es blockieren? Wahrscheinlich nicht.

Wie bereits erwähnt, würde dies die Einrichtung von Let's Encrypt erschweren und Weiterleitungen verhindern (einschließlich Benutzer, die nur your.com code eingeben) > in der Adressleiste). Wenn Sie domänenweites HSTS festgelegt haben, kann das Entfernen von Weiterleitungen sogar als kontraproduktiv angesehen werden (Sie möchten möglicherweise eine einfache HTTP-Verbindung riskieren, um alle zukünftigen Verbindungen zu schützen).

Beachten Sie außerdem, dass aktive Angreifer nicht gestoppt werden (sie können die Verbindung künstlich herstellen, MITM-Proxy-Tools tun dies möglicherweise sogar standardmäßig). Es gibt Eckfälle (einfache HTTP-Proxys, delegierte Domänen außerhalb Ihrer Firewall) ), und Sie können den passiven Angriff für Ihr Modell als zu kompliziert betrachten.

Sollten Sie schließlich einem neuen Server Port 80 hinzufügen? Nun , es sei denn, Sie haben bereits einen Grund zum Öffnen (siehe oben), Nr.

Zusätzlich zu den Antworten der anderen Gesamtstruktur und von Phyrfox verwendet die ACME http-01-Überprüfung Port 80, um Ihre Server zu erreichen. Wenn Sie den Port schließen, können Sie keine Zertifikate erneuern oder erstellen.

Ich sage, es ist situativ. Wenn Ihre Site nur eine API bereitstellt oder ein Backend-Inhalt oder ein statischer Dateiserver ist, bei dem es sehr unwahrscheinlich ist, dass Ihre typischen Benutzer die Adresse Ihres Servers eingeben, um Ihre Site zu besuchen oder ein Lesezeichen für die Seite zu erstellen (da die Adresse dieses Servers niemals vorhanden ist erscheint in der Adressleiste), dann gibt es wahrscheinlich keinen Schaden, der durch das Schließen von Port 80 für diesen Server verursacht werden könnte.

Wenn es sich bei Ihrer Website um eine neue Website handelt, auf der noch keine Personen Ihre Website über HTTP verwenden und kein Lesezeichen vorhanden ist, oder wenn Ihre Website keine Inhalte enthält, die Personen wahrscheinlich über den Link teilen, sind Sie es Möglicherweise sollten Sie Port 80 schließen.

Bei Servern, die Ihre Homepage bedienen, möchten Sie Port 80 wahrscheinlich vorerst behalten, da sie viel häufiger von Personen besucht werden, die URL in die Adressleiste eingeben . Wenn Sie Ihre Seitenadresse in der physischen Welt (z. B. in physischen Anzeigen) oder auf einem Medium bewerben, auf das die Benutzer nicht einfach klicken können, möchten Sie möglicherweise Port 80 beibehalten.