我最近的几个项目涉及销售产品/服务并需要“结帐”过程的网站，用户在该过程中输入他们的信用卡信息等。显然，我们获得了 SSL 证书，以确保它的安全性，并让客户放心。然而，我对它的微妙之处有点不知所措，最重要的是网站的哪些部分应该“使用”证书。
例如，我去过一些网站，当你点击主页时，你就会被放入 https - 主要是银行网站 - 然后有些网站只有在你最终结账时才会被放入 https。如果它不处理银行级别的事情，那么让整个网站通过 https 运行是不是有点矫枉过正？我应该只将结帐页面设为 https 吗？全力以赴会有什么表现？
我个人选择“SSL from go to woe”。
如果您的用户从不输入信用卡号，当然，没有 SSL。
但是 cookie 重放可能存在固有的安全漏洞。
这里有一个问题，特别是如果您必须自己处理付款协商。
您必须将信息从非安全域传输到安全域，然后再传输回来，没有任何保护保证。
如果您做一些愚蠢的事情，例如与 unsecure 共享同一个 cookie 与使用 secure 一样，您可能会发现某些浏览器（正确）为了安全起见会完全删除cookie（Safari），因为如果有人在开放时嗅探该 cookie ，他们可以伪造它并在安全模式下使用它，将您出色的 SSL 安全性降级为 0，如果卡详细信息甚至临时存储在会话中，您就有危险的泄漏等待发生。
如果您不能确定您的软件不容易出现这些弱点，我会建议从一开始就使用 SSL，因此它们的初始 cookie 会以安全的方式传输。
如果该站点是供公众使用的，您可能应该将公共部分放在 HTTP 上。这使得蜘蛛和临时用户的事情变得更容易和更有效。HTTP 请求的发起速度比 HTTPS 快得多，这一点非常明显，尤其是在具有大量图像的站点上。
浏览器有时也有与 HTTP 不同的 HTTPS 缓存策略。
但是可以在他们登录时或之前将它们放入 HTTPS。在站点变得个性化和非匿名时，它可以从那里开始是 HTTPS。
对登录页面本身以及任何其他表单使用 HTTPS 是一个更好的主意，因为它在他们输入信息之前为他们提供了使用挂锁，这让他们感觉更好。
我一直在整个网站上这样做。
我也会一直使用 HTTPS。这不会对性能产生很大影响（因为浏览器会在第一次连接后缓存协商的对称密钥）并防止嗅探。
嗅探曾经因为完全切换的有线网络而消失，在那里你必须更加努力地捕捉其他人的流量（而不是使用集线器的网络），但由于无线网络，它正在回归，这创建了一个广播媒体再次使会话劫持变得容易，除非流量被加密。
我认为一个好的经验法则是在可能传输敏感信息的任何地方强制使用 SSL。例如：我是 Wescom Credit Union 的成员。首页上有一个部分可以让我登录我的网上银行账户。因此，根页面强制使用 SSL。
可以这样想：敏感的私人信息会被传输吗？如果是，请启用 SSL。否则你应该没问题。
在我们的组织中，我们有三类应用程序 -
我们使用这些标准来确定数据的分区，以及网站的哪些方面需要 SSL。SSL 的计算要么在服务器上完成，要么通过 Netscaler 等加速器完成。随着 PII 级别的增加，审计和威胁建模的复杂性也会增加。
正如你可以想象的那样，我们更喜欢做 LBI 应用程序。
通常，在您传输敏感或个人数据的任何时候，您都应该使用 SSL——例如，将商品添加到购物篮可能不需要 SSL，使用您的用户名/密码登录，或者输入您的 CC 详细信息都应该加密。
我只在需要用户输入敏感信息时才将我的网站重定向到 SSL。有了购物车，一旦他们必须用他们的个人信息或信用卡详细信息填写页面，我就会将他们重定向到 SSL 页面。对于网站的其余部分，它可能不需要 - 如果他们只是在您的商业网站上查看信息/产品。
SSL 的计算量非常大，如果可能，不应使用它来传输大量数据。因此，最好在用户传输敏感信息的结帐阶段启用它。
一个完整的站点有一个主要缺点，https不是速度（没关系）。
如果没有不安全的警告，将很难运行 Youtube、“Like”框等。
我们现在正在运行一个全面安全的网站和商店两年，这是最大的缺点。我们现在设法让 Youtube 工作，但“添加这个”仍然是一个很大的挑战。如果他们对协议进行任何更改，那么我们所有的 Youtube 电影都可能是空白的……