首页 > 优化 > 关键词 > HTTPS协议最新资讯 > 正文

大型网站的HTTPS实践四:协议层以外的实践

2015-05-05 14:21 · 稿源:百度运维

1 前言

网上介绍 https 的文章并不多,更鲜有分享在大型互联网站点部署 https 的实践经验,我们在考虑部署 https 时也有重重的疑惑。

本文为大家介绍百度 HTTPS 的实践和一些权衡,希望以此抛砖引玉。

2 协议层以外的实践工作

2.1 全站覆盖 https 的理由

很多刚接触 https 的会思考,我是不是只要站点的主域名换了 https 就可以?答案是不行。

https 的目的就是保证传输过程的安全,如果只有主域名上了 https,但是主域名加载的资源,比如 js,css,图片没有上 https,会怎么样?

从效果上来说,没有达到保证网站传输过程安全的目的,因为你的 js,css,图片仍然有被劫持的可能性,如果这些内容被篡改 / 嗅探了,那么 https 的意义就失去了。

浏览器在设计上早就考虑的这样的情况,会有相应的提示。具体的实现依赖浏览器,例如地址栏锁形标记从绿色变为黄色, 阻止这次请求,或者直接弹出非常影响用户体验的提示 (主要是 IE),用户会感觉厌烦,疑惑和担忧安全性。

很多用户看见这个链接会习惯性的点”是”,这样非 https 的资源就被禁止加载了。非 ie 的浏览器很多也会阻止加载一些危害程度较高的非 https 资源(例如 js)。我们发现移动端浏览器的限制目前会略松一些。

所以这里要是没做好,很多情况连网站的基本功能都没法正常使用。

2.2 站点的区别

很多人刚接触 https 的时候,觉得不就是部署证书,让 webserver 支持 https 就行了吗。

实际上对于不同的站点来说,https 的部署方式和难度有很大的区别。对于一个大型站点来说,让 webserver 支持 https,以及对 webserver 在 https 协议特性上做一些优化,在迁移的工作比重上,可能只占到 20%-40%。

我们考虑下以下几种情况下,部署 https 的方案。

2.2.1 简单的个人站点

简单的定义:资源只从本站的主域或者主域的子域名加载。

比如 axyz 的个人 blog,域名是 axyzblog.com。加载主域名下的 js 和图片。

这样的站部署 https,在已有证书且 webserver 支持的情况下,只需要把主域名替换为 https 接入,然后把资源连接修改为 https:// 或者 //。

2.2.2 复杂的个人站点

复杂的定义:资源需要从外部域名加载。

这样就比较麻烦了,主域资源容易适配 https,在 cdn 上加载的资源还需要 cdn 服务商支持 https。目前各大 cdn 的服务商正在逐渐提供 https 的支持,需要迁移的朋友可以看看自己使用的 cdn 是否提供了这项能力。一些 cdn 会对 https 流量额外收费。

Cdn 使用 https 常见的方案有:

1 网站主提供私钥给 cdn,回源使用 http。

2 cdn 使用公共域名,公共的证书,这样资源的域名就不能自定义了。回源使用 http。

3 仅提供动态加速,cdn 进行 tcp 代理,不缓存内容。

4 CloudFlare 提供了Keyless SSL的服务,能够支持不愿意提供私钥, 不想使用公共的域名和证书却又需要使用 cdn 的站点了。

2.2.3 简单的大型站点

简单的定义: 资源只从本站的主域, 主域的子域,或者自建 / 可控的 cdn 域名加载,几乎没有第三方资源。如果网站本身的特性就如此,或愿意改造为这样的类型,部署 https 就相对容易。Google Twitter 都是非常好的范例。优点:已经改成这样的站点,替换 https 就比较容易。缺点:如果需要改造,那么要很大的决心,毕竟几乎不能使用多样化的第三方资源了。

2.2.4 复杂,访问速度重要性稍低的大型站点

复杂的定义:从本站的非主域,或者第三方站点的域名有大量的第三方资源需要加载,多出现在一些平台类,或者有复杂内容展现的的网站。

访问速度要求:用户停留时间长或者强需求,用户对访问速度的耐受程度较高。比如门户,视频,在线交易类(比如火车票 机票 商城)网站。

这样的站点,可以努力推动所有相关域名升级为支持 https。我们用下图举例说明下这样修改会导致一个网站的链接发生怎样的改变。

负责流量接入的团队将可控的接入环境改造为 http 和 https 都支持,这样前端工程的工作相对就少一些。大部分时候将链接从 http:// 替换为 // 即可. 在主域名是 https 的情况下,其它资源就能自动从 https 协议下加载。一些第三方资源怎么办?一般来说只有两种选择,一迁移到自己的 cdn 或者 idc 吧,二强制要求第三方自己能支持 https。

以全站 https 接入的 facebook 举例。第三方厂商想在 facebook 上线一个游戏。facebook:请提供 https 接入吧。第三方想:能赚钱啊,还是提供下 https 接入吧。所以,足够强势,有吸引力,合作方也有提供 https 的能力的话,这是完全可行的。如果你的平台接入的都是一些个人开发者,而且还赚不到多少钱的情况下,这样就行不通了。

优点:前端改动相对简单,不容易出现 https 下还有 http 的资源问题。

缺点:通常这样的实现下,用户的访问速度会变慢,比如从 2.5 秒变为 3 秒,如上述的理由,用户还是能接受的。对第三方要求高。

2.2.5 复杂,访问速度有严格要求的大型站点

复杂的定义:同上。

访问速度要求:停留时间不长,用户对访问速度的心理预期较高。

但是如果用户把网站当作工具使用,需要你很快给出响应的时候,这样的实现就不好了。后续几个部分我们介绍下这些优化的抉择。

2.3 域名的选择

域名对访问速度的影响具有两面性:域名多,域名解析和建立连接的时间就多;域名少,下载并发度又不够。

https 下重建连接的时间成本比 http 更高,对于上面提到的简单的大型站点, 可以用少量域名就能满足需求,对于百度这样富展现样式较多的搜索引擎来说,页面可能展示的资源种类太多。而不同类型的资源又是由不同的域名 (不同的产品 或者第三方产品) 提供的服务,换一个词搜索就可能需要重新建立一些资源的 ssl 链接,会让用户感受到卡顿。

如果将域名限制在有限的范围,维持和这些域名的连接,合并一些数据,加上有 spdy,http2.0 来保证并发,是可以满足我们的需求的。

  • 相关推荐
  • 大家在看
  • Chrome正在启用HTTP/3,支持IETF QUIC

    QUIC(Quick UDP Internet Connections)是 Google 推出的一个项目,旨在降低基于 TCP 通讯的 Web 延迟。QUIC 非常类似 TCP+TLS+SPDY ,但是基于 UDP 实现的。它是 HTTP/3 的基础协议。

  • 当贝电视盒子怎么样,和其他的电视盒子有什么区别?

    现在买电视盒子,大家主要会选择两个品牌,一个是小米,一个是当贝,小米因为目前新款少,所以大多数的消费者把目光放到了当贝上面,且一直都有人说当贝盒子是目前最强的电视盒子,那么为什么那么说,当贝电视盒子怎么样?我们今天就来讨论一下这款盒子。首先来聊一聊当贝这家公司,起一个底,当贝是一家运营 7 年的创业公司,最早是做智能电视论坛的,后来开始做电视软件的资源整合,我们常用的当贝市场就是当贝在这个时候所开发的

  • 淘宝特价版店铺与淘宝天猫店铺有什么区别

    淘宝特价版店铺和普通的淘宝、天猫店铺有哪些区别,两种店铺的不同之处是什么呢,这里我们来详细介绍下淘宝特价版店铺的规则、要求及不同点,帮助大家来了解淘宝特价版。

  • 当贝超级盒子b1和h1哪个好?有什么区别

    电视在家庭中有举足轻重的地位,电视盒子是电视的主机这几年一直都非常受到大家的重视,目前在电视盒子市场中,当贝盒子的名声越来越大,所以今天和大家来聊一聊当贝旗下的两个型号,告诉大家如何选择。首先来看一下两个型号的配置,当贝超级盒子B1,使用的是晶晨的处理器,3G+32G的内存组合,还有就是当贝超级盒子H1,使用的海思的处理器,在 300 元这个价位,H1 也是做到了2G+16G的内存组合,且没有水分,在信号方面,两个型号都

  • HTC折叠屏智能机设计专利曝光

    ​在规划 5G 智能机产品线的同时,HTC 似乎也在酝酿折叠屏的选项。荷兰科技博客 LetsGoDigital 报道称:2019 年底的时候,该公司在美国申请了一项“可折叠显示设备”的专利申请,并于 2020 年 8 月 20 日正式被世界知识产权组织(WIPO)的数据库所收录。与市面上的同类产品一样,得益于可半开或摊平的灵活铰链设计,该机也能够在智能机 / 平板电脑模式之间进行变换。

  • Uber Freight正在进行5亿美元融资

    Uber将向投资者Greenbriar Equity Group LP出售Uber Freight的部分股份,作价达5亿美元。消息人士称,这一交易将在本月完成。资料显示,去年9月份,Uber Freight在芝加哥成立了总部,Uber表示将在该地区每年投资超过 2 亿美元,并雇用数百名员工。(完)

  • HTC 申请可折叠手机专利:外翻版 Moto Razr

    DoNews 9月29日消息(记者 刘文轩)可折叠智能手机似乎有内翻就会有外翻,比如三星的 Galaxy Z Fold 和华为的 Mate X。另一种采用类似翻盖机形态的可折叠智能手机也有了“外翻派”。LetsGoDigital 发现 HTC 在 2019 年底向 WIPO 申请了一款折叠手机专利,今年 8 月正式公开。根据这份专利,HTC 这款折叠机采用类似三星 Galaxy Z Flip 和 Motorola Razr 5G 的翻盖形式,但方向却相反,也就是向外翻折,把原本竖直的屏幕分为两块更小

  • iPhone12各版本有什么区别 苹果12四款机型配置表一览

    苹果12各版本有什么区别?苹果在北京时间 10 月 14 日凌晨 1 点举行新品发布会,正式发布了 iPhone 12 mini、iPhone 12、iPhone 12 Pro 和 iPhone 12 Pro Max 四款新机,新机均支持 5G 网络,并采用全新外观设计,屏幕边框更窄,整机尺寸也更加轻薄,影像拍摄能力也都得到了不少提升。发布会中多次提到 5G 技术带来的体验提升。更快的上传、下载速度,更流畅的游戏和视频体验,「智能数据模式」可以自动判断何时切换 5G,从而延长?

  • CB Insights2020年度全球十大最有价值数字健康公司 3家中国公司上榜

    近日,市场研究机构CB Insights公布了2020年度全球十大最有价值数字健康公司,3家中国公司上榜,分别是移动互联网医疗健康服务平台微医、互联网健康保障平台水滴公司和计算机视觉公司依图,微医及水滴公司均为腾讯投资企业,依图曾获得马云旗下云锋基金投资。其中,数字健康公司被定义为健康医疗领域中使用技术/软件作为主要竞争力之一的公司,包括疾病诊断、技术驱动的医疗保险平台、用于药物发现的 AI

  • 币安区块链研究院“星火计划”将提供美国斯坦福大学人工智能课程,由教育机构Shorelight共同引入

    星火计划「数字新基建课程倡议」简介2020 年 6 月 ,币安中国区块链研究院启动重要战略项目“数字新基建·百城千企星火计划”,旨在连接全球资源,积极响应中国政府号召,布局区块链、人工智能、云计算以及大数据等新基建相关领域。9 月 18 日,由币安中国区块链研究院、临港区块链技术研究院、亚马逊AWS和数字投行FINWEX联合主办的IFIC上海峰会、第一届数字新基建创新大赛奠定了“数字新基建”相关活动的重要基础,更是汇聚了重量

  • 男子携号转网遭拒协议被延长18年 运营商:协议期是20年

    近日,西安的曹先生称,自己到移动公司携号转网时被告知无法办理,协议期被延长到2038年,注销也不成。曹先生称,自己是18年半的移动卡,办卡的时候花了800元,当时营业员称协议期是两年。今年8月自己到营业厅一查,工作人员称该号码可以携号转网。自己把宽带的盒子还给营业厅之后,收到一条短信称自己的协议被延长到了2038年。

  • 高发泡与EVA有哪些区别?EVA内衬厂家为您解析

    eva是一种高分子共聚物,中文名称是乙烯-醋酸乙烯酯共聚物,本身并不是泡沫材料,在它还没被发泡的时候,它是白色微透明颗粒状的。并且根据共聚物中乙烯和醋酸乙烯的含量不同,它所具有的性质也是不同的。一般情况下,醋酸乙烯酯含量在5%以下的EVA,其主要产品是薄膜、电线电缆、LDPE改性剂、胶黏剂等;醋酸乙烯酯含量在5%~10%的EVA产品为弹性薄膜等;醋酸乙烯酯含量在20%~28%的EVA,主要用于热熔黏合剂和涂层制品;醋酸乙烯酯含量

  • 蚂蚁CEO称乞丐也能获得贷款 区别只是额度问题

    今天,蚂蚁集团CEO胡晓明在外滩大会上表示“飞机不该拼飞得多高,而是拼飞得多低”。如何通过科技让金融变得更普惠是蚂蚁一直在思考的问题。

  • 教师vs教育经纪人vs课程顾问,一文看懂区别

    2020 年还剩下最后一个季度,今年的开头虽然并不友好,但同时也充满着挑战,不管是对于企业还是从业者,都是一个转折点。 正如2003 年的非典让人们意识到电商的价值,成就了阿里,京东等互联网企业,今年的新冠疫情,也让教育行业迎来了转机。 伴随互联网科技巨头、风险投资基金、及诸多业内外人才的涌入,在线教育的价值正在不断被发现和重估。 疫情按下了在线教育快速发展的按钮, 4341 亿元的市场规模,和超过 3 亿人的用户规?

  • 菜鸟驿站推出四大举措:2.8万站点可送货上门

    针对快递未经许可投放快递柜、不送货上门等快递痛点,菜鸟驿站推出四大举措为消费者提供快递选择权,包括消费者可在线设置是否放驿站、快递包裹试行派送前“知心选”、包裹首次进入驿站前电话征求许可和智能柜自主设置等。消费者可在淘宝“查看物流”页自主选择送货上门,还是免费保管。目前,全国2. 8 万个菜鸟驿站已提供这种选择,并送货上门服务。

  • 全民健身 活力中国 战马长板大师赛武汉站点燃全城

    2020 年 9 月 19 日,武汉红T时尚街区迎来了疫情之后的首场长板比赛—— 2020 战马长板大师赛武汉站。今年年初被疫情折磨的阴影、压抑的激情和活力,在此刻被全部唤醒,将“全民健身,活力中国”带到了这座英雄的城市。也许是因为涌动的青春在前半年背不断折磨,找不到能量宣泄的出口,武汉站是分站中参赛人数最多的一站,选手的激情和专业水平也达到了全新的高度,真正的让能量超出了所有人的想象。激烈的预选赛之后,决赛在下午?

  • 谷歌与诺基亚达成五年云计算协议

    Google Cloud周三宣布已与诺基亚达成了为期五年的云计算协议。作为交易的一部分,诺基亚将其现场IT基础架构(包括数据中心和服务器)迁移到Google Cloud基础架构。两家公司均未透露交易条款。诺基亚的基础架构将在公共云中运行,并且诺基亚向云的迁移已经开始。迁移所有诺基亚现有服务器预计将需要24个月的时间。通过这笔交易,谷歌为其不断增长的客户群增加了另一个全球公认的品牌,这些客户还包括沃尔玛,汇丰,贝宝

  • 圆通:向阿里网络协议转让12%股份事项完成过户登记

    9 月 21 日消息,圆通速递发布公告称,公 司控股股东上海圆通蛟龙投资发展(集团)有限公司(以下简称“蛟龙集团”) 及实际控制人喻会蛟、张小娟(以下合称“转让方”)向阿里巴巴集团内企业阿 里巴巴(中国)网络技术有限公司(以下简称“阿里网络”或“受让方”)协议 转让其所持公司股份 379,179,681 股已于 2020 年 9 月 18 日完成过户登记。

  • 微软调整Win10:新版Edge能将网站站点固定在开始菜单

    对于微软来说,不管用户是不是买账,他们都在猛推自家的新版Edge浏览器,虽然市占率全球第二,但跟第一名Chrome相差甚远。作为经典版 Microsoft Edge 的一项特色功能,其允许用户将指定站点固

  • 虎牙斗鱼正式签订合并协议 斗鱼将成为虎牙全资子公司

    凤凰网科技讯 (作者/郑媛)10月12日消息,虎牙与斗鱼联合宣布双方已签订“合并协议与计划”。根据合并协议,虎牙将通过以股换股合并收购斗鱼所有已发行股份,包括由美国存托凭证(ADS)所代表的普通股。斗鱼在合并前已发行的股份及ADS将取消,斗鱼将成为虎牙私有全资子公司,并将从纳斯达克退市。若合并完成,虎牙现任CEO董荣杰和斗鱼现任CEO陈少杰将成为合并后公司的联席CEO,陈少杰也将成为虎牙董事会第十名成员。直播平台斗鱼?

  • 参与评论
文明上网理性发言,请遵守新闻评论服务协议
  • 热门标签