Стоит ли переходить на HTTPS?

[ijkl]

Уже полгода как я поставил бесплатный сертификат Let's Encrypt, в htaccess подготовил, проверил и закомментил необходимые для миграции редиректы, но все никак не решаюсь перейти HTTPS. У меня обычный сайт со статьями и форумом. Пользователи могут регистрироваться, указывая лишь логин и email, затем оставлять сообщения на форуме и комментарии к статьям. Никаких платежей нет.

Браузеры и поисковики обещают со временем ухудшать отношение к незащищенным сайтам: предупреждения браузеров будут все более заметными, а позиции в поисковиках все ниже. Но насколько вырастет нагрузка на сервер? Есть ли какая-то статистика по этому вопросу? К тому же на форуме много страниц со встроенными изображениями по http и браузеры выдают не менее пугающие предупреждения, что соединение не полностью защищено. Возможно, есть еще какие-то подводные камни.

Стоит ли переходить?

[leonidas]

Если у вас Apache, то поставьте спереди nginx, и на нём HTTPS, дальше прокидывайте по HTTP запрос,
если нужно в т.ч. прокидывайте х-форвардед-прото.

А там уже в зависимости от нагрузки.

У меня на фёсте крутится виртуалка c 1Гб RAM (за 250 руб если не ошибаюсь), она используется, как кэширующий прокси (по сути на ней почти всегда находится статический кэш и она крайне редко ходит на бэкэнд), весь трафик исключительно по HTTPS (включен HSTS), проходит в сутки исходящего 5-7 гб, на более чем .5М запросов, для более чем 10K абсолютно уникальных пользователей.

Код: выделить все

# free -m
             total       used       free     shared    buffers     cached
Mem:          1024       1024          0       1301          0        424
-/+ buffers/cache:        599        424
Swap:            0          0          0

но это крутится только nginx и ничего другого + она оптимизирована (скажем всякие странные запросы сразу реджектятся)
и есть свободных 400 мб (в кэше и они могут быть высвобождены)

Аптайм в целом хорошй (падение в феврале возможно было по моей вине, но не уверен/не помню)

NGINXv4.png (46.8 KiB) Просмотров: 7041

Но вот с ipv6 не всё так хорошо, хотя может это связано с тем, что связанность по ipv6 хуже работает (аптайм из штатов раз в минуту чекает)

NGINXv6.png (84.44 KiB) Просмотров: 7041

[ijkl]

Спасибо за обстоятельный ответ.
А что если не ставить NGINX перед Апачем? Я не очень хорошо в этом разбираюсь, и с Апачем намучился, еле-еле все наладил. Наконец-таки все нормально работает, поэтому не хочется начинать такие глобальные изменения, как установка NGINX.

[leonidas]

Если вы не особо разбираетесь, то вам надо найти человека который разбирается.

Не зависимо от того, используете вы HTTPS или нет, перед апачем что-то стоит поставить.
Сравните потребляемые ресурсы apache и nginx и скорость ответа сервера и сразу станет понятно, что на прямую слушать, прям плохо-плохо,

Скажем, на один запрос страницы у вас будет десяток или два запроса к статике (картинки, css, js),
очень часто это всё может обработать nginx просто сделав отправку с диска (причём очень вероятно, что будет сразу с диска вывод перенаправлен на пользователя),
Когда вы перейдёте на HTTPS, все ваши запросы нужно будет сначала дешифровать (чтоб понять что просят), потом зашифровать и послать пользователю -- всё это скажется .

Более того, если вы сумеете вообще отказаться от apache а перейти на другой бэкэнд (для PHP проектов на php-fpm), то очень вероятно у вас ещё больше уменьшится нагрузка, и всё станет работать в разы быстрее (у меня при оптимизации на пример скажем в работе с WordPress ответ увеличивался, как бы не в десятки раз).

Вы можете заставить работать сразу на apache, но будет большая нагрузка, я бы такое не рискнул делать сегодня.

[leonidas]

В целом поставив NGINX, он будет заниматься шифрованием (вы кстати можете отдельно поставить nginx только на 443 порт и начать проксировать весь трафик на локальный хост на 80 порт, в настройки apache может нужно будет настроить mod_rpaf (или как он сейчас называется), чтоб видеть правильные IP адреса).

Но опять же смотрите, что у вас за проект, какую нагрузку он делает, если скажем у вас в день приходит 10 человек, и статичный сайт на html, то может вам будет и без разницы от того, что будет всё работать прям на apache (хотя и в этом случае всё лучше на nginx или около того).

[ijkl]

В IPSmanager нет каких-нибудь готовых функций, которые автоматизируют и облегчают установку и настройку связки Apache + NGINX? И вообще, почему на всех готовых конфигурациях firstvds установлены Apache, а не NGINX, если он такой хороший и полезный?

[Art.i]

Есть в возможностях. При установки Nginx автоматический настраивается связка Nginx+Apache для всех доменов созданных через панель ISPmanager-WWW-домены.
Если у вас нестандартный конфиг Apache, то он будет переписан на стандартный.

[ijkl]

А есть смысл ставить связку, если почти весь контент отдается через PHP? Вычитал, что Nginx дает преимущество только на статике и Apache для динамических страниц даже лучше, потому что PHP работает как модуль.

[Art.i]

Неужели на вашем сайте нет картинок? CSS? JS? и т.д.?
Можете дать ссылку на этот сайт, очень интересно посмотреть=)
В таком случае, да, смысла ставить особого нет.

[leonidas]

А есть смысл ставить связку, если почти весь контент отдается через PHP?

Имеет смысл, даже если будет не PHP, а что то ещё более тяжёлое. Просто перевесьте Apache на соседний порт + mod_rpaf + nginx который будет прокировать траффик без настройки и нагрузка на железо сразу падает, просто по факту того, что у вас быстрее высвобождаются бэкэнд.

Вычитал, что Nginx дает преимущество только на статике

Статика это одно из преимуществ (хотя и не самых маленьких)

и Apache для динамических страниц даже лучше, потому что PHP работает как модуль.

Из личного опыта, это имеет смысл использовать апач на бэкэнде в случае
1) если не умеем правильно готовить, или нет желания заморачиваться с настройкой (такое бывает)
2) софт адаптирован под работу с apache, скажем есть куча правил в .htaccess и их нужно переписать под nginx, а опять же желания/времени нет
3) если хотим сэкономить время (поставили, запустили и всё)

Но даже во всех выше озвученных случаях имеет поставить спереди nginx, и где это может помочь:
1) скажем у вас высоконагруженный проект, кэшируете главную всего на минуту для не авторизованных пользователей -- и нагрузка падает в сотни раз
2) при отдаче большого контента при медленном канале у клиента, фронт забирает всё резвенько у бэкэнда, высвобождая чаилд апача
3) сильно проще резать трафик при атаках.

[akkordamru]

Однозначно, стоит. Гугл уже анонсировал (точно не подскажу новость), что одним из факторов ранжирования стала защищенность сайта. Правда, я слышал, что бесплатные сертификаты по типу Let's Encrypt не дают никакой пользы, кроме значка защищенности. Я недавно к одному сайту покупал, вроде, за 490 рублей в год...

[leonidas]

а нынче ничего кроме значка сертификат не даёт, у вас за 490 руб в год, ровно такая же подпись..

[swg]

Так это смотря какой сертификат.
https://online.sberbank.ru/
Название компании видите?
p.s. Ну а за 490 рублей намного хуже Letsencrypt, потому что 490 рублей :)

[Art.i]

Сертификат с проверкой компании стоит очень дорого(от 4000 до 40000 в год), получать очень муторно. А если в домене есть слово банк, то ты вообще замучаешься его получать.
Это уже совсем другой уровень сертификата.

[swg]

Дорого - понятие относительное, для того же Сбербанка, очевидно, что и 40К за год - смешная сумма.
А вообще, это просто был ответ, на тему, что еще может быть, кроме значка.