电商网站适合走 SSL HTTPS 么？是不是有什么弊端！

[powtop]

目前https的日益普及，但是看到众多电商网站依旧没有开启HTTPS 想问下问什么，是不适合，还是就是人家不想用。

[Slienc7]

商家:成本高
政府：管不到
用戶：不知道

[Septembers]

额外的硬件成本 以及 证书成本

证书成本 一年少则几千 多则几万（免费证书一边去）
硬件成本 多一层HTTPS 计算量 蹭蹭的往上长

[BlueFly]

@Septembers 这些成本对于那些大电商，都是可以忽略，零头都不到。

主要的是，绝绝大多数国人根本不知SSL的好处和必要性。电商当然装不知道

[wy315700]

@BlueFly 考虑过CDN的感受吗

[Slienc7]

@BlueFly 如果部署HTTPS，那麽硬件方面成本將猛增數倍。
主要原因應該是政治原因

[yywudi]

还有就是https因为加密，就算增加硬件提高计算能力，从用户体验角度来说打开速度要比纯http慢，用户体验和数据安全哪个更重要，在中国的网络环境下，呵呵

所以也就在用户登录以及支付相关的网页链接用https加密一下，普通的商品浏览基本上没有用https更不用说全站加密了

[aiguozhedaodan]

XP用户多
难道各种CDN在每个城市的CDN节点都得给网站独立IP？显然不现实。中国IP没美国那么廉价
不同的SSL证书对于CDN管理起来也麻烦
再加上购买浏览页面，除非有人很在意自己看什么被窃听，否则也没必要
支付、登陆界面不是有SSL么，目前来看也足够了

[powtop]

@yywudi 好吧 那硬件成本为啥增加了呢

[powtop]

@Septembers 硬件成本为何会增加

[cevincheung]

@powtop
主要是CPU 。SSL加密的信息在客户端和服务端的双方交互过程中CPU负责加密解密。运算量的问题。

其次是CDN的部署也是问题。

[yywudi]

@powtop https要加密，CPU支出高很多，为了尽量加速这个加密过程，不损失太多用户体验，肯定得提高CPU能力，不就得加更多CPU.... 而且证书要求独立IP，虽然有SNI 但是这个开销也是成本

[powtop]

@aiguozhedaodan 刚才看了下 貌似是这样的 登陆支付加密 这样的话https证书 是不是就是针对login.taobao.com或者比如passport.jd.com 申请这种二级域名就可以了？？

[aiguozhedaodan]

@powtop 对。这是目前条件下，在资源消耗和数据安全两者间做出的最优平衡和选择。

[cnZary]

@yywudi 用spdy就不会比纯http慢了

[cevincheung]

@powtop Wildcard也不贵

[FrankFang128]

楼上都纸上谈兵的么

[honeycomb]

亚马逊(包括国内站)有全程HTTPS

但在国内是很有意义的，有了它基本能免疫运营商劫持广告

[andy12530]

CDN的问题先解决了吧，不然大图，还有其它静态资源，流量也是一大笔钱。

[shixinyu]

@andy12530 静态资源可以走一个独立的域名，不用SSL加密的域名，缺点就是这个页面Load的时候就是混合内容，可能会在证书图标那边有感叹号提示。

[dndx]

Google 现在连 YouTube 的视频都走 TLS 了。说白了就是态度的问题。什么资源、CDN，真要想搞总有办法搞定。

[lhbc]

硬件成本：CPU过剩的年代，SSL算啥，现在的服务器CPU都有AES-NI，单核500M/s以上的AES计算速度，根本不增加硬件成本
证书成本：九牛一毛都算不上
CDN：SNI、无证书CDN，技术都不是问题

根本原因是：你们这些用户的安全和隐私值根毛

[quix]

免费证书到底有什么问题?

[xiaozhizhu1997]

美亚也只有帐户管理页面有HTTPS。
至于京东我要吐槽一下它的HTTPS到底多落后，chrome连黄锁都不显示了。。

[scys]

@Septembers 除非是算法不同，否则免费和收费，其实没区别呀~

虽然跟我去 @ooxx 那买了个5年。

[scys]

应该是@xxoo才对~

[alexyangjie]

说到底就是安全意识不足。我之前写过一篇文章：

https://www.alexyang.me/2014/08/25/say-hello-to-tls.html

[xiaozhizhu1997]

@honeycomb 美亚首页打HTTPS会301到HTTP。

[powtop]

@scys 我来@xxoo一下 xxoo 你家卖证书么 ？ 多少软妹币

[powtop]

@alexyangjie 话说淘宝7块钱一年的证书不错 只不过到现在还没配置OK

[scys]

@xoxo 好吧，我承认，我是写了三次才写对一个名字！

[alexyangjie]

@powtop 嗯，应该不难的。

[9hills]

Youtube全站SSL，包括视频本身。成本大么？这是一种态度

[zeinipiyan]

@9hills 这样用户资料不作恶就可以独享了，市场上有一百家卖包子的，和只有一家卖包子的，价格能一样吗？

[bugmenott]

@zeinipiyan 可笑的生物，已B，简直污染眼睛

[lbp0200]

领导不关心，自然不必ssl

[learnshare]

安全重要不重要？脱裤要不要预防？交易和用户数据值不值钱？

[iyaozhen]

哎，还是态度问题。高层觉得这个完全没必要，某些技术人员推也推不起来。
其实涉及私密信息传输的地方一般都会强制要求走https了（我最近的一个项目就因为证书问题delay了一个多月）。现在主要是一些静态信息展示的页面还是http。

不过只要网民素质慢慢提高，整个互联网意识到https的重要性，越来越多的网站会使用https的。

[9hills]

@zeinipiyan 看不懂你在说什么…

[honeycomb]

@xiaozhizhu1997

我这里不会

可能是启用了HTTPS everywhere的缘故

[honeycomb]

@xiaozhizhu1997
抱歉收回刚才言论

[geekzu]

CDN是可以SSL的，国内便有verycloud支持，并且支持SPDY

[xierch]

就是不重视用户信息安全啊
重视的话，就算证书贵就算硬件需求高，那也要买也要升级设备也要上 HTTPS 啊

[shenyi26]

可以参考亚马逊，重要页面走https，比如登陆，订单。普通页面走http

[missdeer]

cloudflare是怎么解决CDN挂SSL的？