Хорошая практика или плохая практика для принуждения всего сайта к HTTPS?

вы теряете много функций с https (в основном связанных с производительностью)

• Прокси не могут кэшировать страницы
• Вы не можете использовать обратный прокси-сервер для повышения производительности
• Вы не можете размещать несколько доменов на одном IP-адресе
• Очевидно, что шифрование потребляет ресурсы ЦП

Может быть, для вас это не проблема, это действительно зависит от требований

HTTPS снижает пропускную способность сервера, поэтому это может быть плохой идеей, если ваше оборудование не справляется с этим. Вы можете найти этот пост полезным . Эта статья (академическая) также обсуждает накладные расходы HTTPS .

Если у вас нет побочных эффектов, то, вероятно, на данный момент у вас все в порядке, и, возможно, вы будете счастливы не создавать работу там, где она не нужна.

Однако нет особых причин для шифрования всего вашего трафика. Конечно, учетные данные для входа или другие конфиденциальные данные. Одна из главных вещей, которую вы потеряете, - это кеширование нижестоящего уровня. Ваши серверы, промежуточные интернет-провайдеры и пользователи не могут кэшировать https. Это может быть не совсем актуальным, поскольку в нем говорится, что вы только предоставляете услуги. Однако это полностью зависит от вашей настройки, а также от того, есть ли возможность кэширования и есть ли вообще проблема с производительностью.

Если у вас есть HTTP-запросы, поступающие со страницы HTTPS, вы заставите пользователя подтвердить загрузку незащищенных данных. Раздражает на некоторых веб-сайтах, которые я использую.

Я ненавижу бегать по бессмысленным сайтам с https, которые не обрабатывают ничего, что действительно требует шифрования. В основном потому, что все они кажутся в 10 раз медленнее, чем любой другой сайт, который я посещаю. Как и большинство страниц документации на developer.mozilla.org, вы будете вынуждены просматривать его с помощью https без какой-либо причины, и загрузка всегда занимает много времени.

It is a good idea to use all-HTTPS - or at least provide knowledgeable users with the option for all-HTTPS.

If there are certain cases where HTTPS is completely useless and in those cases you find that performance is degraded, only then would you default to or permit non-HTTPS.