Forum in HTTPS [reply]

[conraid]

Offtopic: questo

ecco là che cominciano i problemi http/https
Il link citato è in https, così ora siamo costretti a non poter disattivare l'https altrimenti diventerebbe un broken link!!

e perché? va con e senza https, ed anche se togliessimo https del tutto basta una rewrite.
Adesso c'è un solo rewrite, per la pagina ucp.php, il resto è a scelta dell'utente.
Naturalmente se uno entra poi decide quale protocollo usare, potremmo "forzare" solo quella pagina e forzare al contrario il resto, potremmo scegliere di lasciare scelta anche per i login, potremmo... potremmo tutto, basta decidere
Per ora è un discorso tra pochi intimi sembra

Per quanto riguarda godaddy va considerato che se quest'anno sono 9$ il prossimo ne sono almeno 40.
Però va anche considerato che quest'anno abbiamo avuto un bello sconto sulle spese del server, vero?

Sì, ma anche così siamo "sotto" se non fosse per il contributo di un unica persona. Bisogna pensarci bene. E forse dovrebbe essere l'assemblea a farlo.

Io ho un problema. Non riesco ad andare alla pagina principale del forum dopo aver visitato una sezione. Ed analogamente non riesco a ritornare alla sezione dopo che ho visitato un topic.
Succede con Chrome su Windows 7, OSX 10.6 e Arch e con Firefox su OSX 10.6

O non ho capito, o non ho quell'errore. Con firefox, chrome, bugzilla ed opera su Slackware

[targzeta]

Corrado, visto che si può fare tutto. Possiamo fare in stile FB? Ovvero avere entrambi i protocolli. Così chi vuole (io) usa l'https accettando il nostro certificato auto-firmato e auto-garantito da noi, chi invece non vuole usa il protocollo http e pace. Così chiunque su internet può visitare il nostro forum senza essere forzato ad accettare il nostro certificato.

E' ovvio che possiamo anche valutare l'acquisto di un certificato...cartificato, però lo si dovrebbe decidere in altre sedi e poi a mio avviso non ha molto senso.

Emanuele

[conraid]

Corrado, visto che si può fare tutto. Possiamo fare in stile FB? Ovvero avere entrambi i protocolli. Così chi vuole (io) usa l'https accettando il nostro certificato auto-firmato e auto-garantito da noi, chi invece non vuole usa il protocollo http e pace. Così chiunque su internet può visitare il nostro forum senza essere forzato ad accettare il nostro certificato.

E' ovvio che possiamo anche valutare l'acquisto di un certificato...cartificato, però lo si dovrebbe decidere in altre sedi e poi a mio avviso non ha molto senso.

Emanuele

intendi anche la pagina di login in quel modo?
se sì basta togliere quell'unico rewrite ed è già così...

[conraid]

search.php?search_id=newposts

prova di sostituzione del prefisso https nei link

p.s.
ho messo la censura per
h_t_t_p_s://www.slacky.eu (lo scrivo così per aggirare la censura)
che diventa sempre
http://www.slacky.eu
nei link

[targzeta]

Quindi attualmente tutto il forum (e sito) è visitabile sia in http che in https? L'unica forzatura è la pagina di login? (più che domande sono affermazioni). Se pensiamo alla sicurezza la soluzione non è proprio il massimo (è vero che non mi beccano la pass però potrebbero leggere i miei post su di un forum "chiuso") però alla fine basta dare la possibilità, a chi vuole (io), di stare al sicuro, e questa è garantita anche con la soluzione senza quel rewrite. Che si fà? Facciamo un sondaggio per vedere chi vuole tutto http e https vs. chi invece vuole lasciare almeno la pagina di login in https? Personalmente toglierei anche quella rewrite. Ora mi svuoto la cache di FF ed inizio ad usare gli https, così non ho più problemi (dovrebbe anche esistere una estensione per FF che automaticamente trasforma gli indirizzi http in https qualora lo si voglia).

L'importante è che il certificato sia uno solo, attualmente non ho ancora aggiunto una regola fissa e non ho ancora accettato il certificato.

Emanuele

[targzeta]

L'estensione di cui parlavo, per chi non la conoscesse è questa.

Emanuele

[targzeta]

Scusate se mi faccio i discorsi da solo. Comunque io ho adottato questa soluzione. Ho installato l'estensione di cui al post precedente (che va bene anche per Chrome) e poi ci ho messo dentro questa regola per Slacky.eu:

Codice: Seleziona tutto

<ruleset name="Slacky.eu">
  <target host="www.slacky.eu" />
  <target host="slacky.eu" />

  <rule from="^http:(.*slacky\.eu/forum/)" to="https:$1"/>
  <rule from="^http:(.*slacky\.eu/asche(64)?/)" to="https:$1"/>
</ruleset>

così, sia per il forum che per asche sono sicuro di usare https, mentre per il resto no (anzi, forse si potrebbe meglio assicurarsi un http che è meno "pesante").
Per fare questo ho messo la regola su scritta nel file:

Codice: Seleziona tutto

~/.mozilla/firefox/PROFILO/extensions/https-everywhere@eff.org/chrome/content/rules/slacky.eu.ruleset

dove, ovviamente PROFILO, varia da utente ad utente.

Alla luce di queste nuove potenzialità, io eliminerei la regola attuale per la pagina di login perché potrebbe anche ingannare: uno potrebbe pensare di essere sempre su https mentre qualche link qui o lì potrebbe portarlo in http.

Emanuele

[conraid]

Tolto tutto, ora rimane a scelta dell'utente

p.s.
pensavo di fare una pagina che spiega quel che abbiamo detto fino ad adesso, e sceglie se continuare con http, https, accettare il certificato, scaricare l'estensione, etc... ma dove possiamo metterla?

[ZeroUno]

Eviterei la storia dell'estensione.

Non so se phpbb lo consente, ma su diversi siti alla schermata di login c'è un check 'usa connessione sicura'. Forse esiste qualche mod per farlo, e comunque è una modifica semplice all'occorrenza. Invece del check si può anche mettere un link da qualche parte:
<a href="h_t_t_p_s://www.slacky.eu/forum">Usa connessione sicura</a> e niente regole o rewrite o estensioni necessarie.

Per l'acquisto di un certificato si, se se ne sente il bisogno (ma di quello bisogna parlarne quì o fare un sondaggio) allora bisogna fare una riunione straordinaria (o prolungare l'attuale ) nell'associazione.

[conraid]

Eviterei la storia dell'estensione.

Non so se phpbb lo consente, ma su diversi siti alla schermata di login c'è un check 'usa connessione sicura'. Forse esiste qualche mod per farlo, e comunque è una modifica semplice all'occorrenza. Invece del check si può anche mettere un link da qualche parte:
<a href="h_t_t_p_s://www.slacky.eu/forum">Usa connessione sicura</a> e niente regole o rewrite o estensioni necessarie.

Per l'acquisto di un certificato si, se se ne sente il bisogno (ma di quello bisogna parlarne quì o fare un sondaggio) allora bisogna fare una riunione straordinaria (o prolungare l'attuale ) nell'associazione.

il fatto è che con i link messi in http se uno segue un link del forum perde la "sicurezza". Magari non ha ancora fatto il login, a me capita spesso di leggere e fare login se voglio rispondere. Boh... ogni soluzione ha aspetti positivi e negativi, centrarli tutti è impossibile.
Vediamo come va

[conraid]

Come suggerito da nino, qui ci sono dei certificati a basso costo
http://www.hawkhost.com/Sslcertificate/compare
Sono certificati da GlobalSign secondo quanto hanno detto a nino nel forum e possono essere usati al di fuori dei loro piani di hosting
Qualcuno può capire se ci possono andar bene?

[targzeta]

Secondo me possiamo fare un thread di tipo annuncio in cui ci mettiamo di tutto:

• La possibilità di visitare il sito via http(s)
• La possibilità di usare l'estensione per FF/Chrome
• La fingerprint e l'MD5SUM del nostro certificato, così uno è "abbastanza" sicuro che il certificato è il nostro

Emanuele

P.S. Offtopic: Guardate che https everywhere è la svolta

[ZeroUno]

Come suggerito da nino, qui ci sono dei certificati a basso costo
http://www.hawkhost.com/Sslcertificate/compare
Sono certificati da GlobalSign secondo quanto hanno detto a nino nel forum e possono essere usati al di fuori dei loro piani di hosting
Qualcuno può capire se ci possono andar bene?

Per i certificati sotto i 400$:
"Activates green address bar" == NO

[conraid]

Sì ok, ma ora non esageriamo, nemmeno facebook e google per esempio hanno certificati EV (green bar)

[ZeroUno]

ah, ok, basta che non compare la schermata rossa vanno benissimo.

Comunque forse è arrivato il momento per un sondaggio.