Les choix liés à la sécurité ne devraient pas être une affaire d'opinion mais de connaissances solides, ça évitera qu'on voit des banques/assurances/startups/administrations/que-sais-je se faire trouer tous les jours.
Pas une ligne de Python exécuté avant que l'identification soit faites.
Aucun rapport avec le fait d'utiliser HTTPS ou pas.
http -> connexion anonyme
Et ta page de login ? Par définition, ton utilisateur est anonyme au moyen où il/elle envoie gentiment son login/password en vadrouille sur les réseaux vers ton serveur. Merci pour eux, maintenant tout le Starbucks connaît leurs identifiants (et leur FAI, et ton FAI, et bien d'autres..., et la NSA bien-sûr ;)).
https -> connexion identifié
Dans le cas d'un Man in the Middle (quelqu'un intercepte tout ce qui passe entre le navigateur de ton utilisateur et ton serveur), le méchant fait croire au navigateur que le serveur parle HTTP, il communique avec ton serveur en HTTPS si ça te fait plaisir, mais en chemin il voit tout ce qui passe, et ni toi ni le navigateur ne se doutent de quoi que ce soit... Un bon moyen d'empêcher ça, c'est de dire au navigateur qu'il ne doit accepter rien d'autre que du HTTPS de ta part. (cf une réponse plus bas)
Je ne sais pas comment faire aussi clean et aussi simple en mettant tout en https...
Au contraire, tout est on ne peut plus simple et clean ! Tu communiques uniquement en HTTPS. Point final. Comment ça pourrait être moins simple ? Un petit coup de HSTS et de Public Key Pinning, et tu es au top (ou tout cas bien mieux que l'immense majorité des sites webs).
[^] # Re: Mon opinion
Posté par FreeFax . En réponse au journal À quand l'HTTPS par défaut sur LinuxFR ?. Évalué à 9.
Les choix liés à la sécurité ne devraient pas être une affaire d'opinion mais de connaissances solides, ça évitera qu'on voit des banques/assurances/startups/administrations/que-sais-je se faire trouer tous les jours.
Aucun rapport avec le fait d'utiliser HTTPS ou pas.
Et ta page de login ? Par définition, ton utilisateur est anonyme au moyen où il/elle envoie gentiment son login/password en vadrouille sur les réseaux vers ton serveur. Merci pour eux, maintenant tout le Starbucks connaît leurs identifiants (et leur FAI, et ton FAI, et bien d'autres..., et la NSA bien-sûr ;)).
Dans le cas d'un Man in the Middle (quelqu'un intercepte tout ce qui passe entre le navigateur de ton utilisateur et ton serveur), le méchant fait croire au navigateur que le serveur parle HTTP, il communique avec ton serveur en HTTPS si ça te fait plaisir, mais en chemin il voit tout ce qui passe, et ni toi ni le navigateur ne se doutent de quoi que ce soit... Un bon moyen d'empêcher ça, c'est de dire au navigateur qu'il ne doit accepter rien d'autre que du HTTPS de ta part. (cf une réponse plus bas)
Au contraire, tout est on ne peut plus simple et clean ! Tu communiques uniquement en HTTPS. Point final. Comment ça pourrait être moins simple ? Un petit coup de HSTS et de Public Key Pinning, et tu es au top (ou tout cas bien mieux que l'immense majorité des sites webs).