Hace una semana, Google me envió un correo electrónico para usar HTTPS. Si no transfiero HTTP a HTTPS, mostrará mi conexión no segura a todos los visitantes de mi sitio que intentarán ingresar texto en mi sitio.

Sin usar SSL, ¿hay alguna otra forma de asegurar mi conexión? Como está relacionado con un proceso costoso para usar SSL en la URL de la web, estoy buscando cualquier otra opción.

¿Hay alguna otra forma de asegurar mi conexión?

Google no solo se queja de la "seguridad" (que podría incluir varios temas diferentes), sino que se dirige específicamente al cifrado / HTTPS. Con HTTP simple, la conexión entre el cliente y el servidor no está encriptada, lo que permite a cualquier persona ver e interceptar cualquier cosa que se envíe. Normalmente solo se le solicitará esto si está permitiendo que los usuarios inicien sesión (es decir, enviando nombre de usuario / contraseña) o enviando información de pago a través de una conexión no cifrada. Los envíos generales de formularios de "texto" no serían necesariamente un problema. Sin embargo, como señaló @Kevin en los comentarios, Google / Chrome planea extender esto en el futuro :

Eventualmente, planeamos etiquetar todas las páginas HTTP como no seguras y cambiar el indicador de seguridad HTTP al triángulo rojo que usamos para HTTPS rotos.

Instalar un certificado SSL en su sitio (o usar un proxy front-end como Cloudflare para manejar el SLL) es la única forma de cifrar el tráfico a su sitio.

Sin embargo, esto no es necesariamente un "proceso costoso" en estos días. Cloudflare tiene una opción "gratuita" y Let's Encrypt es una autoridad de certificación gratuita que muchos hosts admiten de forma predeterminada.

No lo recomiendo, pero puede omitir este mensaje al no utilizar los campos de texto de entrada originales. Puede crear sus propios campos de entrada, utilizando regulares divque tienen onkeypressevento. O puede crear un divelemento que tenga el contenteditableatributo establecido en true.

De esta manera, los usuarios podrán ingresar información en su sitio, sin usar inputelementos de etiqueta.

Si solo está sirviendo archivos estáticos o puede poner un proxy al frente, podría usar un servidor como el servidor caddy que maneja todo esto por usted mediante el uso de cifrado, esto elimina el dolor de los certificados de aprovisionamiento y no tiene que hacerlo Instalar cualquier otro software.

Alternativamente, podría usar un servicio como cloudflare : su plan gratuito ofrece https gratis.

Finalmente, algunos hosts ofrecen certificados https gratuitos ahora, incluido dreamhost . Así que verifique si su host actual ofrece esto como una opción.

No recomendaría tratar de encontrar una solución, solo hay una forma de hacer que su sitio sea seguro, y los navegadores eventualmente avisarán en cada sitio que no tenga https, sin importar el contenido. La web se está moviendo hacia https en todas partes.

nadie más parece haber mencionado,

si posee todas las máquinas que se conectan a su sitio

, como un entorno corporativo, puede crear una autoridad de certificación propia, instalar su certificado público en todas las máquinas (en todos los navegadores y tiendas de certificados) que se conectan a su sitio. esta opción está libre de monetización de terceros; es el mismo cifrado de cifrado, sin embargo, no se inicia sesión en la confianza pública (por ejemplo, su autoridad no es reconocida por Google Chrome, Mozilla Firefox, etc., como lo hace Let's Encrypts), pero será reconocido por las máquinas que configuró para confiar en usted mismo .

Es cierto que las ofertas de establecer una autoridad de certificación son un tanto difíciles y oscuras, y el mantenimiento puede ser mucho trabajo, así que las dejaré aquí, probablemente sea mejor hacer una investigación profunda sobre el tema de su verdadero interés. en este enfoque

aunque para un despliegue de nieve, si puedes probar XCA

• Para Debian: https://packages.debian.org/stretch/xca
• sitio oficial: http://xca.sourceforge.net/

XCS es una forma decente de emitir certificados para implementaciones pequeñas e incluye documentación de ayuda que recorre toda la configuración.

Tengo un par de ideas.

Si la razón de HTTPS es administrar los inicios de sesión, puede minimizar el efecto en todos los navegadores ofreciendo a los usuarios que permanezcan conectados. Luego, cuando un usuario inicia sesión, una cookie puede almacenarse permanentemente en la computadora del usuario para que la próxima vez que el usuario enciende su computadora para acceder al sitio, se iniciaría sesión automáticamente en lugar de que siempre se le presentara un aviso de inicio de sesión y posiblemente una advertencia de seguridad.

Otra idea que puede omitir el mensaje pero que sería más trabajo tanto para el invitado como para el servidor es hacer que un invitado cargue un archivo especial con la configuración adecuada encriptada. Por ejemplo, para la pantalla de inicio de sesión, en lugar de pedirle al usuario que ingrese su nombre de usuario y contraseña en dos cuadros de texto, haga que el usuario cargue un pequeño archivo que contenga su nombre de usuario y contraseña cifrados (por ejemplo, comprimiendo el nombre de usuario y la contraseña como un zip) archivo con un nivel de compresión específico), entonces el servidor puede descifrar el archivo para extraer el nombre de usuario y la contraseña. El pirata informático potencial verá galimatías en tránsito cuando el usuario envíe el archivo al servidor. La única ventaja de esta idea es una velocidad de conexión ligeramente más rápida ya que el procesamiento de la conexión SSL no tiene lugar en HTTP.

No.

Es muy poco probable que cualquier hack que intente (por ejemplo, tratar de cifrar con JavaScript) esté cerca de ser seguro.

SSL no tiene que ser "costoso", muchos proveedores de hosting lo ofrecen de forma gratuita. E incluso cosas como cloudflare ofrecen SSL gratis y mantienen el alojamiento actual.

Una solución rápida y gratuita es Let's Encrypt. Enlace Tienen documentación para casi todos los sistemas operativos del servidor. Lo usamos en nuestro trabajo, y nuestros proveedores de W2P lo usan para proteger cada uno de nuestros escaparates.