При предотвращении SSL “Вы собираетесь быть перенаправленными к соединению, которое не безопасно”. сообщение

Атака, против которой это предотвращает, представляет собой полосу сеанса SSL «человек посередине». Сообщение отправлено по уважительной причине.

Некоторое время назад я столкнулся с той же проблемой. Итак, я заглянул внутрь fiddler, чтобы увидеть, как это делает почта Yahoo. Вот шаг, который я видел (и использовал на своем сайте):

Пользователь заполняет зашифрованную форму SSL и отправляет POST на сервер. Сервер аутентифицируется и выдает какой-то сценарий для перенаправления клиента

<script language="JavaScript">
<!--
window.location.replace("~~ non-SSL URL ~~");
// -->
</script>

Я полагаю, что код на стороне клиента существует, чтобы избежать этого диалога.

«Как мне этого избежать?»

Не стоит!

Хотя вы можете попробовать это с помощью JavaScript. Это может работать в одних браузерах и не работать в других.

«Какова цель этого диалога?»

Он предупреждает, потому что переключение между SSL и не-SSL на веб-сайтах обычно является неожиданным для пользователя. Предупреждение о том, что «SSL для SSL не используется», не выводится, поскольку это повышает безопасность и конфиденциальность. Однако, когда безопасность внезапно снижается , пользователь должен заметить это быстро, чтобы избежать ложного ощущения безопасности. Фактически, перенаправление на сайт без SSL иногда используется в XSS / MITM-атаках.

«SSL приведет к увеличению трафика / вычислительной мощности»

Это ерунда. Это может быть верно для сайтов с большим статическим контентом. Однако, для обычных динамических веб-приложений шифрование очень дешево по сравнению с бизнес-логикой, доступом к базе данных и т. д.

Существует городская легенда, говорящая, что SSL-контент не обрабатывается браузерами. См. « Кэшируют ли веб-браузеры контент через https » для получения дополнительной информации.

«Yahoo делает это. Yahoo - большая техническая компания. Вы умнее Yahoo?»

Некоторые риторические встречные вопросы :

• Вы такая крупная техническая компания, как Yahoo?
• Помешало ли то, что крупная техническая компания Microsoft выпускать дрянное программное обеспечение?
• Вы должны поддерживать дрянные старые браузеры (со взломанным SSL), как Yahoo. ?

В первую очередь используйте SSL для всей страницы !

В SSL нет ничего плохого. Вы должны обеспечивать конфиденциальность пользователей везде, а не только при входе в систему. Это имеет смысл для всего сайта. Так что просто перенаправьте все страницы без SSL на страницы SSL и сохраните все SSL.

Что касается цели: чтобы вы знали, что ваше соединение не будет быть зашифрованным SSL больше. Возможно, вы уже видели, что соединение зашифровано, и можете подумать, что оно все еще есть, поэтому в этом предупреждении говорится «Для ясности, любые данные, которые вы отправляете отсюда, будут в виде открытого текста» .

Как о том, как его подавить: AFAIK, вы не можете, это дело браузера, в чем бы смысл сообщения в противном случае? Несмотря на то, что существуют обходные пути, такие как перенаправление на стороне клиента, я не думаю, что вы следует попытаться обойти такие "проблемы" клиента. Если браузер хочет быть подробным, позвольте ему. Есть "Больше не показывать" Кроме того, IMHO, если бы браузер стоил своей соли, он все равно бы всплывал с этим предупреждением, даже если вы использовали уловки перенаправления на стороне клиента.