https y partes q no estan en https

[alexvb]

hola, tengo una pequeña duda y no se si es ya un problema, en una web q vengo trabajando tiene instalado un certificado de seguridad, no recuerdo en q momento es q aparecio en los iconos de navegacion de los exploradores, IE, FF, chrome, q el sitio web esta cifrado, pero parte de ello no, asi q me aparece en el icono q indica mi certificado un icono generalmente naranja o amarillo de advertencia, el sitio esta en asp clasico, no veo lo complicado si al fin todo es un html, y no se por donde empesar para hacer q todo el contenido este cifrado....

algunos datos q quisas sean de ayuda

-tiene algunas cosillas de flash
-obtiene imagenes de certificacion del paypal certified
-es momento de usar un snifer y ver lo q mi red transporta al navegar en este sitio ???

gracias y saludos

[hades87]

Lo que has de tener en cuenta es que el https se usa para conexiones cifradas y por lo tanto para transportar datos que son importantes, mientras en otras páginas que no se envia información alguna puedes usar http sin problemas, por lo que no es necesario que todo su sitio este en https.

[maycolalvarez]

usualmente coloco lo correspondiente al login en esa parte, y el de "cambio de contraseña", si lo colocas todo ahí, el rendimiento del server se verá afectado

[alexvb]

hola, bien esto de q parte del sitio este en https me parecen muy buenas practicas las q me han dicho, en cuanto a la informacion importante en sitios como los logins, sin embargo el problema q se me presenta o mejor dicho la pregunta es q si en una misma pagina, no el sitio entero, puede haber contenido en https ( cifrado ), y en http ( no cifrado ), dado q eso es lo q esos mensajitos naranjas me indican, en el chrome me dice por ejemplo:

sin embargo esta pagina incluye otros recursos q no son seguros, estos pueden ser visualizados por otros usuarios, etc, etc ....

lo q me hace pensar esto q suena medio raro, q una parte de la pagina esta cifrada y parte no, en otras partes como el login no se ve, y todo ok...

saludos

[maycolalvarez]

cuando colocas lo referente al login en el directorio destinado al ssl (o directorio seguro) apache cifra la comunicación con el navegador, lo usual es que después de ahí re-direcciones al sitio normal, por lo cual el navegador te mostrará la advertencia "la web esta redirigiendo a un sitio no seguro ¿desea continuar?", eso NO quiere decir que tu sistema sea inseguro, simplemente que las comunicaciones a partir de allí no estarán cifradas y un hacker puede verlas, pero lo que te interesa es que no "vea" el usuario y contraseña, por lo que el uso de ssl en esa parte (la del login) se vuelve fundamental, pero no imprescindible para todo el sitio.

últimamente GMAIL ha optado por mantener permanentemente el modo seguro las sesiones del usuario, en este caso si podría darse ese riesgo ya que evitaría escuchas malintencionadas al estar usando gmail, ese lujo solo se los pueden dar pocos como google que dispone de potentes servers, aún así afecta la velocidad del servicio, puedes cambiarlo al modo tradicional, pero el login siempre estará en modo seguro.

No te preocupes por tener solo lo correspondiente al login en el directorio seguro, es la practica habitual, si necesitas que otras forms transfieran data segura, hazlo, pero evita comprometer todo el sistema

en el caso de los bancos, ni falta hace decirte el porque siempre usan https