Estou desenvolvendo um sistema de login e preciso enviar os valores por Ajax. O login vai ficar em uma janela modal na home, e por causa disso não vou utilizar o protocolo HTTPS. Tem como enviar de forma segura por Ajax usando SSL?
-
Não entendi o porquê de não usar https. Se quer que os dados transitem criptografados, precisa usar.– bfavarettoCommented 5/04/2014 às 1:10
-
Sempre que o usuário entrar na home do site ele vai precisar acessar o protocolo https? Uma solução que achei é colocar um iframe dentro da janela modal com link para uma página segura, mas estou tentando achar outra maneira de fazer.– Carlos PereiraCommented 5/04/2014 às 1:25
-
Não necessariamente. Você pode apontar somente a requisição ajax para uma url segura.– bfavarettoCommented 5/04/2014 às 2:00
-
Mas os valores transitem criptografados?– Carlos PereiraCommented 5/04/2014 às 2:11
-
2Sim, se o destino da requisição for uma url https.– bfavarettoCommented 5/04/2014 às 2:22
1 Resposta
Você jamais pode fazer uma operação segura em http, até mesmo se você pretende apenas usar um serviço em https. Isso pode comprometer muito a segurança do sistema e do usuário, dependendo da gravidade, isso pode gerar uma ação judicial da vítima e do seu cliente (caso você esteja trabalhando para terceiros).
Para que o seu site sempre abra em https, você pode (ou pedir para seu host) configurar o http server da aplicação, para fazer requests sempre em https.
Uma dica: Eu acredito que em qualquer http server que se preze, sejá possível de definir quais são os content types que não precisam ser seguros, como por exemplo, arquivos CSS e imagens.
A razão é que, os dados na página continuam inseguros, se o hacker por exemplo, espera por um token na sua página, ele pode obte-lo assim que o client receber a autorização e assim ele pode ter acesso total a conta da vitima. Isso pode ser facilmente possivel através de ads ou extensões de browser por exemplo.
Então você pode até continuar usando um modal mas, desde que, ele esteja em https. A diferênça é que, todo tráfego em https é criptografado, o que significa que apenas o seu servidor e a maquina do usuário "sabem desembaralhar" esses dados.
Espero ter ajudado.
-
O ambiente do usuário vou sempre usar o https, mas quero evitar isso em página que não vai ser necessário. Se eu colocar um iframe dentro da janela modal resolve né? Commented 6/04/2014 às 2:24
-
Eu não vejo necessidade de você "evitar" usar https. Qual será o ganho de você fazer isso? Commented 6/04/2014 às 3:22