Я помещаю веб-тест вверх для клиентов, которые посещают «https://oursite.com/poodlesecurityfailed.js»Должен ли сертификат быть официальным или самоподписанным?
Вопрос,
Требуется ли действительный сертификат, даже если его на тестовый домен для сертификатов переговоров? Если клиент может посетить его, они не прошли тест пуделя. (SSLv3 включен) на этом хосте.
Идеи?
Нужен ли мне действительный сертификат, даже если он находится в тестовом домене для согласования сертификата? Если клиент может посетить его, они не прошли тест пуделя. (SSLv3 включен) на этом хосте.
В зависимости от клиента.
Если у клиентов достаточно знаний, чтобы понять, что «недействительный сертификат» при доступе к сайту означает, что в действительности клиент все еще поддерживает SSL 3.0, тогда будет достаточно самозаверяющего сертификата.
Если вы хотите дать объяснение проблемы на этом сайте и не ожидаете, что клиент явно примет недействительный сертификат, чтобы увидеть это объяснение, вам лучше использовать правильно доверенный сертификат.
Спасибо, что упрощает. Я думаю, что «доверенный» сертификат должен быть в порядке, так как SSLv3 не будет много работать в домене с одним файлом? –
Я думаю, что если вы просто отправляете информацию, которую вы отправляете за менее безопасный транспорт, это не имеет большого значения. Но есть еще достаточно пользователей, которые не знают, что SSL/TLS предназначен только для безопасности транспорта и считают, что, обратившись к сайту с помощью https, они не защищены от всех опасностей. Таким образом, пользователи могут быть обмануты, по-видимому, «доверенным» сертификатом, даже если соединение небезопасно. Но такие пользователи, вероятно, могут обманываться гораздо проще, поэтому мне было бы безразлично. –