HTTPS в 2017

Не имея статистики по хостингам не могу поручиться, но не думаю, что все хостинги поголовно используют DNS-CAA-метод.

Как минимум, точно никто не заставляет его использовать при самостоятельной реализации на своём сервере.

Нам изначально показался более надёжным метод с подтверждением сертификатов с помощью проверочных файлов, вместо DNS (файлы, разумеется, "виртуально" генерируются на уровне CDN, а не грузятся на сайты).

Проблем с ним не встречалось в принципе. Даже, когда у LetsEncrypt было ещё немало багов.

Рекомендуем.

HTTP/2 это, безусловно, хорошо. Но, к сожалению, даже, если не учитывать текущую распространённость, не настолько, чтобы быть хоть сколько-то ощутимо большинством сайтов, да, тем более, значимо компенсировать HTTPS.

Не просто так сейчас HTTP/2 не поддерживают даже Яндекс, Amazon, Ebay.

Он действительно улучшает ситуацию с повторными хэндшейками, но

- и самый первый хэндшэйк не исчезает (а скорость загрузки на первом просмотре - наиболее значима в срезе шансов получения "отказа" от посетителя)

- и для некоторых сайтов, если не оптимизировать персонально под особенности HTTP/2 иногда даже возможны случаи небольшого замедления начала загрузки

На офблоге Nginx есть хорошая статья по теме, а вот здесь можете протестировать в сравнении результаты HTTP 1\2 для реальных сайтов.

К примеру, facebook имеет ощутимое ускорение, а miniclip.com как и большинство средних сайтов отличий с HTTP/2 фактически не имеет

обычное кеширование в статику дает намного лучший результат.

Какая связь между протоколом передачи и кешированием?

---------- Добавлено 05.07.2017 в 00:34 ----------

У меня стоит официальное расширение для Plesk, один раз уже отваливалось.

У меня основной сервер с Centos 6, на нем HTTP/2 не запустишь без плясок с бубном, поэтому проверял на VPS с nginx и wordpress без расширений - разница 10% в среднем. Если включить оптимизации, то меньше.

разговор был про скорость загрузки

В любом случае это проблема расширения, а не LE. Да, похоже, уже исправленная. Если и продолжите управлять сертификатами с собственного сервера, и будут повторяться проблемы - подключите Certbot, это старейшее решение для LE. Инструкция для CentOS

разговор был про https, медленный хендшейк и влияние http/2

---------- Добавлено 05.07.2017 в 17:30 ----------

На указанной вами странице рекомендуется использовать официальное расширение.

Кстати, проблемы с продлением были не у расширения, а у Let's Encrypt.

Посмотрите их community, там только об этом и говорят.

C тем, что HTTP/2 не решает вопрос с первым хендшейком и является просто самостоятельным способом небольшого ускорения, упоминания aleksandrbol про другие аспекты скорости мне кажутся в равной степени уместными.

А на практике скорость лишней не бывает, поэтому лучше иметь и HTTP/2 (когда станет актуальнее), и кеши, и отсутствие потерь от хендшейков - одновременно.

Суть в том, что LE действительно абсолютно надёжен. Проблемы редки, связаны в основном с пользовательской спецификой. И от абсолютно любых легко защитится с клиентской стороны.

Иное было бы странно для сервиса, от которого зависят уже миллионы сайтов.

Всё описанное касается исключительно того, как можно это сделать, если стандартное расширение всё ещё не даёт вам достаточных технических возможностей для появления полного доверия.

В частности, даже если бы данный случай был бы совсем неисправимой ошибкой самого LE то, как минимум, об этом можно было бы узнать задолго до истечения сертификата и успеть что угодно.

Но он известен года полтора в различных вариациях и связан с некорректной работой старых версий ДНС или некорректными записями в зоне. Поэтому легко решаем и затронул немногих. Преимущественно, тех, кто держит собственные ДНС.

Я напоминаю, что топик про HTTPS, а не про оптимизацию сайта. Кеширование работает одинаково на HTTP и HTTPS, а вот HTTP/2 за счет мультиплексирования дает некоторое преимущество.

Если сервис абсолютно надежен, то почему большинство обсуждений посвящено проблемам с продлением сертификата?

Как пользователь, я хочу быть уверен, что после успешной установки он будет и дальше работать как положено. Через 3 месяца я вижу, что один сертификат не продлился.

Кто в этом виноват? Расширение? Но оно успешно установило сертификат первый раз. Если это проблемы с моим сервером, то они должны были возникнуть изначально, не так ли?

К вопросу об абсолютной надежности LE, открываем https://letsencrypt.status.io/

Прокручиваем вниз и жмем History. Только в июне сервис ложился 3 раза...

Выпускается порядка 450.000 сертификатов в сутки. Любая настоящая проблема вызвала бы невообразимый шквал обсуждений и их просмотров.

А не те несколько штук с десятками\сотнями просмотров, которые появляются, в основном, от нежелания изучать инструкции по стандартным случаям.

Есть ряд вариантов сломать продление изменением настроек веб-сервера, ДНС и самих расширений.

В том числе, и иногда банальными редиректами, которые большинство устанавливает после получения сертификата в первый раз.

Поэтому, - всё же не так. И виновато расширение или его применение.

Здесь есть 2 отдельных вопроса.

1. Можно ли просто поставить любое LE-расширение и получить 100% надёжность?

- Нельзя.

В этом вы полностью правы. Ваш пример и все упомянутые обсуждения это подтверждают.

2. Можно ли в принципе настроить так, чтобы получить 100% надёжность?

- Можно.

Это подтверждает не только пример множества крупных хостингов и CDN.

Но и очевидная логика.

Ничто не мешает:

- продлевать сертификаты хоть каждую неделю;

- посылать себе уведомления об ошибках.

Проблему встретить сложно. Сложную проблему встретить почти нереально.

Но какой бы она ни была вообще, - всегда есть до 2.5 месяцев в запасе, чтобы разобраться.

Простые уведомления об ошибках с минимальным вниманием к ним, - действительно дают 100% гарантию того, что ни один сайт никогда не получит ущерба.

Предложили вам посмотреть в сторону Certbot, потому что с ним точно можно это сделать. Пусть и не совсем быстро и тривиально, но вполне посильно для среднего админа.

Если же нет желания\возможности так сделать или реагировать на уведомления:

1) Либо смириться с тем, что у "частников" сейчас нет вариантов, чтобы и совсем не вникать, и получить гарантированные 100% надёжности от бесплатного сервиса с бесплатными модулями.

* Почаще обновляйте "расширение". Оно всё же и так очень хорошее, и будет становится лучше.

2) Либо перестать заниматься сертификатами самостоятельно и воспользоваться тем, что полноценная обработка и контроль проблем уже есть у многих.