HTTPS เบšเปเปˆเบ›เบญเบ”เป„เบžเบชเบฐเป€เปเบตเป„เบ›เป€เบ—เบปเปˆเบฒเบ—เบตเปˆเบกเบฑเบ™เป€เบšเบดเปˆเบ‡เบ„เบทเบงเปˆเบฒ. เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเบ—เบตเปˆเบžเบปเบšเป€เบซเบฑเบ™เบขเบนเปˆเปƒเบ™ 5,5% เบ‚เบญเบ‡เป€เบงเบฑเบšเป„เบŠเบ—เปŒ HTTPS

HTTPS เบšเปเปˆเบ›เบญเบ”เป„เบžเบชเบฐเป€เปเบตเป„เบ›เป€เบ—เบปเปˆเบฒเบ—เบตเปˆเบกเบฑเบ™เป€เบšเบดเปˆเบ‡เบ„เบทเบงเปˆเบฒ. เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเบ—เบตเปˆเบžเบปเบšเป€เบซเบฑเบ™เบขเบนเปˆเปƒเบ™ 5,5% เบ‚เบญเบ‡เป€เบงเบฑเบšเป„เบŠเบ—เปŒ HTTPS
เบซเบ™เบถเปˆเบ‡เปƒเบ™เป€เบงเบฑเบšเป„เบŠเบ—เปŒเป€เบ—เบดเบ‡เบชเบธเบ”เบ‚เบญเบ‡ Alexa (เบงเบปเบ‡เบเบฒเบ‡), เบฎเบฑเบšเบ›เบฐเบเบฑเบ™เป‚เบ”เบ HTTPS, เบกเบตเป‚เบ”เป€เบกเบ™เบเปˆเบญเบ (เบชเบตเบ‚เบตเป‰เป€เบ–เบปเปˆเบฒ) เปเบฅเบฐ dependencies (เบชเบตเบ‚เบฒเบง), เปƒเบ™เบ™เบฑเป‰เบ™เบกเบตเบˆเบธเบ”เบ—เบตเปˆเบกเบตเบ„เบงเบฒเบกเบชเปˆเบฝเบ‡ (dashed shading)

เปƒเบ™เบ›เบฑเบ”เบˆเบธเบšเบฑเบ™, เป„เบญเบ„เบญเบ™เบเบฒเบ™เป€เบŠเบทเปˆเบญเบกเบ•เปเปˆเบ—เบตเปˆเบ›เบญเบ”เป„เบž HTTPS เป„เบ”เป‰เบเบฒเบเป€เบ›เบฑเบ™เบกเบฒเบ”เบ•เบฐเบ–เบฒเบ™เปเบฅเบฐเปเบกเป‰เบเบฐเบ—เบฑเป‰เบ‡เบ„เบธเบ™เบฅเบฑเบเบชเบฐเบ™เบฐเบ—เบตเปˆเบˆเปเบฒเป€เบ›เบฑเบ™เบ‚เบญเบ‡เป€เบงเบฑเบšเป„เบŠเบ—เปŒเบ—เบตเปˆเบฎเป‰เบฒเบเปเบฎเบ‡. เบ–เป‰เบฒ เปƒเบšเบขเบฑเป‰เบ‡เบขเบทเบ™ เบซเบฒเบเป„เบ›, เป€เบเบทเบญเบšเบ—เบธเบเบ•เบปเบงเบ—เปˆเบญเบ‡เป€เบงเบฑเบšเบ—เบตเปˆเบœเปˆเบฒเบ™เบกเบฒเบชเบฐเปเบ”เบ‡เปƒเบซเป‰เป€เบซเบฑเบ™เบ„เปเบฒเป€เบ•เบทเบญเบ™เบงเปˆเบฒ เบเบฒเบ™โ€‹เป€เบŠเบทเปˆเบญเบกโ€‹เบ•เปเปˆโ€‹เบเบฑเบšโ€‹เป€เบงเบฑเบšโ€‹เป„เบŠโ€‹เปเบกเปˆเบ™ "เบšเปเปˆโ€‹เบ›เบญเบ”โ€‹เป„เบžโ€‹" เปเบฅเบฐเบšเปเปˆเปเบ™เบฐเบ™เปเบฒเปƒเบซเป‰เป‚เบญเบ™เบ‚เปเป‰เบกเบนเบ™เบฅเบฑเบšเป„เบ›เบซเบฒเบกเบฑเบ™.

เปเบ•เปˆเบกเบฑเบ™เบ›เบฐเบเบปเบ”เบงเปˆเบฒเบกเบต "lock" เปƒเบ™เปเบ–เบšเบ—เบตเปˆเบขเบนเปˆเบšเปเปˆเป„เบ”เป‰เบฎเบฑเบšเบ›เบฐเบเบฑเบ™เบเบฒเบ™เบ›เบปเบเบ›เป‰เบญเบ‡เบชเบฐเป€เบซเบกเบต. เบเบฒเบ™เบเบงเบ”เบชเบญเบš 10 เบชเบฐเบ–เบฒเบ™เบ—เบตเปˆเบŠเบฑเป‰เบ™เบ™เปเบฒ เบˆเบฒเบเบเบฒเบ™เบˆเบฑเบ”เบญเบฑเบ™เบ”เบฑเบš, Alexa เบชเบฐเปเบ”เบ‡เปƒเบซเป‰เป€เบซเบฑเบ™เบงเปˆเบฒเบžเบงเบเป€เบ‚เบปเบฒเบซเบผเบฒเบเปเบกเปˆเบ™เบ‚เบถเป‰เบ™เบเบฑเบšเบ„เบงเบฒเบกเบญเปˆเบญเบ™เปเบญเบ—เบตเปˆเบชเปเบฒเบ„เบฑเบ™เปƒเบ™เป‚เบ›เป‚เบ•เบ„เบญเบ™ SSL / TLS, เป‚เบ”เบเบ›เบปเบเบเบฐเบ•เบดเบœเปˆเบฒเบ™เป‚เบ”เป€เบกเบ™เบเปˆเบญเบเบซเบผเบทเบเบฒเบ™เบ‚เบถเป‰เบ™เบเบฑเบš. เบญเบตเบ‡เบ•เบฒเบกเบœเบนเป‰เบ‚เบฝเบ™เบ‚เบญเบ‡เบเบฒเบ™เบชเบถเบเบชเบฒ, เบ„เบงเบฒเบกเบชเบฑเบšเบชเบปเบ™เบ‚เบญเบ‡เบ„เปเบฒเบฎเป‰เบญเบ‡เบชเบฐเบซเบกเบฑเบเป€เบงเบฑเบšเป„เบŠเบ•เปŒเบ—เบตเปˆเบ—เบฑเบ™เบชเบฐเป„เบซเบกเป€เบžเบตเปˆเบกเบ‚เบถเป‰เบ™เบขเปˆเบฒเบ‡เบซเบผเบงเบ‡เบซเบผเบฒเบเบ‚เบญเบ‡เบซเบ™เป‰เบฒเบเบฒเบ™เป‚เบˆเบกเบ•เบต.

เบœเบปเบ™เบเบฒเบ™เบ„เบปเป‰เบ™เบ„เบงเป‰เบฒ

เบเบฒเบ™เบชเบถเบเบชเบฒเบ”เบฑเปˆเบ‡เบเปˆเบฒเบงเป„เบ”เป‰เบ”เปเบฒเป€เบ™เบตเบ™เป‚เบ”เบเบœเบนเป‰เบŠเปˆเบฝเบงเบŠเบฒเบ™เบˆเบฒเบเบกเบฐเบซเบฒเบงเบดเบ—เบฐเบเบฒเป„เบฅ Venice Ca' Foscari (เบญเบดเบ•เบฒเบฅเบต) เปเบฅเบฐเบกเบฐเบซเบฒเบงเบดเบ—เบฐเบเบฒเป„เบฅเป€เบ•เบฑเบเบ™เบดเบ Vienna. เบžเบงเบเป€เบ‚เบปเบฒเป€เบˆเบปเป‰เบฒเบˆเบฐเบ™เปเบฒเบชเบฐเป€เบซเบ™เบตเบšเบปเบ”เบฅเบฒเบเบ‡เบฒเบ™เบฅเบฒเบเบฅเบฐเบญเบฝเบ”เบขเบนเปˆเปƒเบ™เบเบญเบ‡เบ›เบฐเบŠเบธเบก 40th IEEE Symposium เบเปˆเบฝเบงเบเบฑเบšเบ„เบงเบฒเบกเบ›เบญเบ”เป„เบžเปเบฅเบฐเบ„เบงเบฒเบกเป€เบ›เบฑเบ™เบชเปˆเบงเบ™เบ•เบปเบง, เป€เบŠเบดเปˆเบ‡เบˆเบฐเบˆเบฑเบ”เบ‚เบถเป‰เบ™เปƒเบ™เป€เบ”เบทเบญเบ™เบžเบถเบ”เบชเบฐเบžเบฒ 20-22, 2019 เปƒเบ™ San Francisco.

เป€เบงเบฑเบšเป„เบŠเบ—เปŒ HTTPS เบฅเบฒเบเบŠเบทเปˆ 10 Alexa เบชเบนเบ‡เบชเบธเบ”เปเบฅเบฐ 000 เป‚เบฎเบ”เบ—เบตเปˆเบเปˆเบฝเบงเบ‚เป‰เบญเบ‡เป„เบ”เป‰เบ–เบทเบเบ—เบปเบ”เบชเบญเบš. เบเบฒเบ™เบ•เบฑเป‰เบ‡เบ„เปˆเบฒเบเบฒเบ™เป€เบ‚เบปเป‰เบฒเบฅเบฐเบซเบฑเบ”เบ—เบตเปˆเบกเบตเบ„เบงเบฒเบกเบชเปˆเบฝเบ‡เบ–เบทเบเบเบงเบ”เบžเบปเบšเปƒเบ™ 90 เป‚เบฎเบ”, เบ™เบฑเป‰เบ™เปเบกเปˆเบ™, เบ›เบฐเบกเบฒเบ™ 816% เบ‚เบญเบ‡เบˆเปเบฒเบ™เบงเบ™เบ—เบฑเบ‡เบซเบกเบปเบ”:

  • 4818 เบกเบตเบ„เบงเบฒเบกเบชเปˆเบฝเบ‡เบ•เปเปˆ MITM
  • 733 เบกเบตเบ„เบงเบฒเบกเบชเปˆเบฝเบ‡เบ•เปเปˆเบเบฒเบ™เบ–เบญเบ”เบฅเบฐเบซเบฑเบ” TLS เป€เบ•เบฑเบกเบฎเบนเบšเปเบšเบš
  • 912 เบกเบตเบ„เบงเบฒเบกเบชเปˆเบฝเบ‡เบ•เปเปˆเบเบฒเบ™เบ–เบญเบ”เบฅเบฐเบซเบฑเบ” TLS เบšเบฒเบ‡เบชเปˆเบงเบ™

898 เป€เบงเบฑเบšเป„เบŠเบ—เปŒเปเบกเปˆเบ™เป€เบ›เบตเบ”เบขเปˆเบฒเบ‡เบชเบปเบกเบšเบนเบ™เบชเปเบฒเบฅเบฑเบšเบเบฒเบ™ hack, เบ™เบฑเป‰เบ™เปเบกเปˆเบ™, เบžเบงเบเป€เบ‚เบปเบฒเบญเบฐเบ™เบธเบเบฒเบ”เปƒเบซเป‰เบชเบตเบ”เบชเบฐเบ„เบดเบšเบ‚เบญเบ‡เบžเบฒเบเบชเปˆเบงเบ™เบ—เบตเบชเบฒเบก, เปเบฅเบฐ 977 เป€เบงเบฑเบšเป„เบŠเบ—เปŒเป‚เบซเบฅเบ”เป€เบ™เบทเป‰เบญเบซเบฒเบˆเบฒเบเบซเบ™เป‰เบฒเบ—เบตเปˆเบ›เป‰เบญเบ‡เบเบฑเบ™เบ—เบตเปˆเบšเปเปˆเบ”เบตเบ—เบตเปˆเบœเบนเป‰เป‚เบˆเบกเบ•เบตเบชเบฒเบกเบฒเบ”เบžเบปเบงเบžเบฑเบ™เบเบฑเบš.

เบ™เบฑเบเบ„เบปเป‰เบ™เบ„เบงเป‰เบฒเป€เบ™เบฑเป‰เบ™เบซเบ™เบฑเบเบงเปˆเบฒเปƒเบ™เบšเบฑเบ™เบ”เบฒ 898 เบŠเบฑเบšเบžเบฐเบเบฒเบเบญเบ™เบ—เบตเปˆ "เบ–เบทเบเบ—เปเบฒเบฅเบฒเบเบขเปˆเบฒเบ‡เบชเบปเบกเบšเบนเบ™" เปเบกเปˆเบ™เบฎเป‰เบฒเบ™เบ„เป‰เบฒเบญเบญเบ™เป„เบฅเบ™เปŒ, เบเบฒเบ™เบšเปเบฅเบดเบเบฒเบ™เบ—เบฒเบ‡เบ”เป‰เบฒเบ™เบเบฒเบ™เป€เบ‡เบดเบ™เปเบฅเบฐเบชเบฐเบ–เบฒเบ™เบ—เบตเปˆเบ‚เบฐเบซเบ™เบฒเบ”เปƒเบซเบเปˆเบญเบทเปˆเบ™เป†. 660 เปƒเบ™ 898 เป€เบงเบฑเบšเป„เบŠเบ”เบฒเบงเป‚เบซเบผเบ”เบชเบฐเบ„เบฃเบดเบšเบžเบฒเบเบ™เบญเบเบˆเบฒเบเป€เบˆเบปเป‰เบฒเบžเบฒเบšเบ—เบตเปˆเบกเบตเบ„เบงเบฒเบกเบชเปˆเบฝเบ‡: เบ™เบตเป‰เปเบกเปˆเบ™เปเบซเบผเปˆเบ‡เบ•เบปเป‰เบ™เบ•เปเบ‚เบญเบ‡เบญเบฑเบ™เบ•เบฐเบฅเบฒเบ. เบญเบตเบ‡เบ•เบฒเบกเบœเบนเป‰เบ‚เบฝเบ™, เบ„เบงเบฒเบกเบชเบฑเบšเบชเบปเบ™เบ‚เบญเบ‡เบ„เปเบฒเบฎเป‰เบญเบ‡เบชเบฐเบซเบกเบฑเบเป€เบงเบฑเบšเป„เบŠเบ•เปŒเบ—เบตเปˆเบ—เบฑเบ™เบชเบฐเป„เบซเบกเป€เบžเบตเปˆเบกเบ‚เบถเป‰เบ™เบขเปˆเบฒเบ‡เบซเบผเบงเบ‡เบซเบผเบฒเบเปƒเบ™เบซเบ™เป‰เบฒเบเบฒเบ™เป‚เบˆเบกเบ•เบต.

เบšเบฑเบ™เบซเบฒเบญเบทเปˆเบ™เป†เบเบฑเบ‡เบžเบปเบšเป€เบซเบฑเบ™: 10% เบ‚เบญเบ‡เปเบšเบšเบŸเบญเบกเบเบฒเบ™เบญเบฐเบ™เบธเบเบฒเบ”เบกเบตเบšเบฑเบ™เบซเบฒเบเบฑเบšเบเบฒเบ™เบชเบปเปˆเบ‡เบ‚เปเป‰เบกเบนเบ™เบ—เบตเปˆเบ›เบญเบ”เป„เบž, เป€เบŠเบดเปˆเบ‡เป„เบžเบ‚เบปเปˆเบกเบ‚เบนเปˆเบ•เปเปˆเบเบฒเบ™เบฎเบปเปˆเบงเป„เบซเบฅเบ‚เบญเบ‡เบฅเบฐเบซเบฑเบ”เบœเปˆเบฒเบ™, 412 เป€เบงเบฑเบšเป„เบŠเบ—เปŒเบญเบฐเบ™เบธเบเบฒเบ”เปƒเบซเป‰เบ‚เบฑเบ”เบ‚เบงเบฒเบ‡ cookies เปเบฅเบฐ Session hijacking, เปเบฅเบฐ 543 เบชเบฐเบ–เบฒเบ™เบ—เบตเปˆเบ–เบทเบเป‚เบˆเบกเบ•เบตเบเปˆเบฝเบงเบเบฑเบšเบ„เบงเบฒเบกเบชเบปเบกเบšเบนเบ™เบ‚เบญเบ‡ cookie (เบœเปˆเบฒเบ™เป‚เบ”เป€เบกเบ™เบเปˆเบญเบ) .

เบšเบฑเบ™เบซเบฒเปเบกเปˆเบ™เบงเปˆเบฒเปƒเบ™เบŠเบธเบกเบ›เบตเบกเปเปˆเป†เบกเบฒเบ™เบตเป‰เปƒเบ™เป‚เบ›เป‚เบ•เบ„เบญเบ™ SSL / TLS เปเบฅเบฐเบŠเบญเบšเปเบง เป„เบ”เป‰โ€‹เบฅเบฐโ€‹เบšเบธโ€‹เบ„เบงเบฒเบกโ€‹เบชเปˆเบฝเบ‡โ€‹เบˆเปเบฒโ€‹เบ™เบงเบ™โ€‹เบซเบ™เบถเปˆเบ‡โ€‹: POODLE (CVE-2014-3566), BEAST (CVE-2011-3389), เบญเบฒเบŠเบฐเบเบฒเบเบณ (CVE-2012-4929), BREACH (CVE-2013-3587), เปเบฅเบฐ Heartbleed (CVE-2014-0160). เป€เบžเบทเปˆเบญเบ›เป‰เบญเบ‡เบเบฑเบ™เบžเบงเบเบกเบฑเบ™, เบเบฒเบ™เบ•เบฑเป‰เบ‡เบ„เปˆเบฒเบˆเปเบฒเบ™เบงเบ™เบซเบ™เบถเปˆเบ‡เปเบกเปˆเบ™เบ•เป‰เบญเบ‡เบเบฒเบ™เบขเบนเปˆเปƒเบ™เป€เบ„เบทเปˆเบญเบ‡เปเบกเปˆเบ‚เปˆเบฒเบเปเบฅเบฐเบเปˆเบฒเบเบฅเบนเบเบ„เป‰เบฒเป€เบžเบทเปˆเบญเบซเบผเบตเบเป€เบงเบฑเป‰เบ™เบเบฒเบ™เปƒเบŠเป‰เบชเบฐเบšเบฑเบšเบ—เบตเปˆเบกเบตเบ„เบงเบฒเบกเบชเปˆเบฝเบ‡เป€เบเบปเปˆเบฒ. เปเบ•เปˆเบ™เบตเป‰เปเบกเปˆเบ™เบ‚เบฑเป‰เบ™เบ•เบญเบ™เบ—เบตเปˆเบšเปเปˆเปเบกเปˆเบ™เป€เบฅเบทเปˆเบญเบ‡เป€เบฅเบฑเบเป†เบ™เป‰เบญเบเป†, เป€เบžเบฒเบฐเบงเปˆเบฒเบเบฒเบ™เบ•เบฑเป‰เบ‡เบ„เปˆเบฒเบ”เบฑเปˆเบ‡เบเปˆเบฒเบงเบเปˆเบฝเบงเบ‚เป‰เบญเบ‡เบเบฑเบšเบเบฒเบ™เป€เบฅเบทเบญเบเบˆเบฒเบเบŠเบธเบ”เบฅเบฐเบซเบฑเบ”เบฅเบฑเบšเปเบฅเบฐเป‚เบ›เป‚เบ•เบ„เบญเบ™เบ—เบตเปˆเบเบงเป‰เบฒเบ‡เบ‚เบงเบฒเบ‡, เป€เบŠเบดเปˆเบ‡เบ‚เป‰เบญเบ™เบ‚เป‰เบฒเบ‡เบเบฒเบเบ—เบตเปˆเบˆเบฐเป€เบ‚เบปเป‰เบฒเปƒเบˆ. เบกเบฑเบ™เบšเปเปˆเปเบกเปˆเบ™เบ„เบงเบฒเบกเบŠเบฑเบ”เป€เบˆเบ™เบชเบฐ เป€เปเบต เป„เบ›เบงเปˆเบฒเบŠเบธเบ”เบฅเบฐเบซเบฑเบ”เบฅเบฑเบšเปเบฅเบฐเป‚เบ›เป‚เบ•เบ„เบญเบ™เปƒเบ”เบ–เบทเบเบžเบดเบˆเบฒเบฅเบฐเบ™เบฒเบงเปˆเบฒ "เบ›เบญเบ”เป„เบžเบžเบฝเบ‡เบžเป".

เบเบฒเบ™เบ•เบฑเป‰เบ‡เบ„เปˆเบฒเบ—เบตเปˆเปเบ™เบฐเบ™เปเบฒ

เบšเปเปˆเบกเบตเปƒเบœเบญเบฐเบ™เบธเบกเบฑเบ”เปเบฅเบฐเบ•เบปเบเบฅเบปเบ‡เบขเปˆเบฒเบ‡เป€เบ›เบฑเบ™เบ—เบฒเบ‡เบเบฒเบ™เปƒเบ™เบšเบฑเบ™เบŠเบตเบฅเบฒเบเบŠเบทเปˆเบ‚เบญเบ‡เบเบฒเบ™เบ•เบฑเป‰เบ‡เบ„เปˆเบฒ HTTPS เบ—เบตเปˆเปเบ™เบฐเบ™เปเบฒ. เบ”เบฑเปˆเบ‡เบ™เบฑเป‰เบ™, Mozilla SSL Configuration Generator เบชเบฐโ€‹เบซเบ™เบญเบ‡โ€‹เบ—เบฒเบ‡โ€‹เป€เบฅเบทเบญเบโ€‹เปƒเบ™โ€‹เบเบฒเบ™โ€‹เบ•เบฑเป‰เบ‡โ€‹เบ„เปˆเบฒโ€‹เบˆเปเบฒโ€‹เบ™เบงเบ™โ€‹เบซเบ™เบถเปˆเบ‡โ€‹, เบ‚เบถเป‰เบ™โ€‹เบเบฑเบšโ€‹เบฅเบฐโ€‹เบ”เบฑเบšโ€‹เบเบฒเบ™โ€‹เบ›เบปเบโ€‹เบ›เบฑเบโ€‹เบฎเบฑเบโ€‹เบชเบฒโ€‹เบ—เบตเปˆโ€‹เบ•เป‰เบญเบ‡โ€‹เบเบฒเบ™โ€‹. เบ•เบปเบงเบขเปˆเบฒเบ‡, เบ™เบตเป‰เปเบกเปˆเบ™เบเบฒเบ™เบ•เบฑเป‰เบ‡เบ„เปˆเบฒเบ—เบตเปˆเปเบ™เบฐเบ™เปเบฒเบชเปเบฒเบฅเบฑเบšเป€เบ„เบทเปˆเบญเบ‡เปเบกเปˆเบ‚เปˆเบฒเบ nginx 1.14.0:

เบฎเบนเบšเปเบšเบšเบ—เบตเปˆเบ—เบฑเบ™เบชเบฐเป„เบซเบก

เบฅเบนเบเบ„เป‰เบฒเป€เบเบปเปˆเบฒเปเบเปˆเบ—เบตเปˆเบชเบธเบ”เบ—เบตเปˆเบชเบฐเบซเบ™เบฑเบšเบชเบฐเบซเบ™เบนเบ™: Firefox 27, Chrome 30, IE 11 เปƒเบ™ Windows 7, Edge, Opera 17, Safari 9, Android 5.0, เปเบฅเบฐ Java 8

server {
listen 80 default_server;
listen [::]:80 default_server;

# Redirect all HTTP requests to HTTPS with a 301 Moved Permanently response.
return 301 https://$host$request_uri;
}

server {
listen 443 ssl http2;
listen [::]:443 ssl http2;

# certs sent to the client in SERVER HELLO are concatenated in ssl_certificate
ssl_certificate /path/to/signed_cert_plus_intermediates;
ssl_certificate_key /path/to/private_key;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;


# modern configuration. tweak to your needs.
ssl_protocols TLSv1.2;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
ssl_prefer_server_ciphers on;

# HSTS (ngx_http_headers_module is required) (15768000 seconds = 6 months)
add_header Strict-Transport-Security max-age=15768000;

# OCSP Stapling ---
# fetch OCSP records from URL in ssl_certificate and cache them
ssl_stapling on;
ssl_stapling_verify on;

## verify chain of trust of OCSP response using Root CA and Intermediate certs
ssl_trusted_certificate /path/to/root_CA_cert_plus_intermediates;

resolver <IP DNS resolver>;

....
}

เบชเบฐเบซเบ™เบฑเบšเบชเบฐเบซเบ™เบนเบ™เบ‚เบฐเบซเบ™เบฒเบ”เบเบฒเบ‡

เบฅเบนเบเบ„เป‰เบฒเป€เบเบปเปˆเบฒเปเบเปˆเบ—เบตเปˆเบชเบธเบ”เบ—เบตเปˆเบชเบฐเบซเบ™เบฑเบšเบชเบฐเบซเบ™เบนเบ™: Firefox 1, Chrome 1, IE 7, Opera 5, Safari 1, Windows XP IE8, Android 2.3, Java 7

server {
listen 80 default_server;
listen [::]:80 default_server;

# Redirect all HTTP requests to HTTPS with a 301 Moved Permanently response.
return 301 https://$host$request_uri;
}

server {
listen 443 ssl http2;
listen [::]:443 ssl http2;

# certs sent to the client in SERVER HELLO are concatenated in ssl_certificate
ssl_certificate /path/to/signed_cert_plus_intermediates;
ssl_certificate_key /path/to/private_key;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;

# Diffie-Hellman parameter for DHE ciphersuites, recommended 2048 bits
ssl_dhparam /path/to/dhparam.pem;

# intermediate configuration. tweak to your needs.
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS';
ssl_prefer_server_ciphers on;

# HSTS (ngx_http_headers_module is required) (15768000 seconds = 6 months)
add_header Strict-Transport-Security max-age=15768000;

# OCSP Stapling ---
# fetch OCSP records from URL in ssl_certificate and cache them
ssl_stapling on;
ssl_stapling_verify on;

## verify chain of trust of OCSP response using Root CA and Intermediate certs
ssl_trusted_certificate /path/to/root_CA_cert_plus_intermediates;

resolver <IP DNS resolver>;

....
}

เบชเบฐเบซเบ™เบฑเบšเบชเบฐเบซเบ™เบนเบ™เป€เบเบปเปˆเบฒ

เบฅเบนเบเบ„เป‰เบฒเป€เบเบปเปˆเบฒเปเบเปˆเบ—เบตเปˆเบชเบธเบ”เบ—เบตเปˆเบชเบฐเบซเบ™เบฑเบšเบชเบฐเบซเบ™เบนเบ™: Windows XP IE6, Java 6

server {
listen 80 default_server;
listen [::]:80 default_server;

# Redirect all HTTP requests to HTTPS with a 301 Moved Permanently response.
return 301 https://$host$request_uri;
}

server {
listen 443 ssl http2;
listen [::]:443 ssl http2;

# certs sent to the client in SERVER HELLO are concatenated in ssl_certificate
ssl_certificate /path/to/signed_cert_plus_intermediates;
ssl_certificate_key /path/to/private_key;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;

# Diffie-Hellman parameter for DHE ciphersuites, recommended 2048 bits
ssl_dhparam /path/to/dhparam.pem;

# old configuration. tweak to your needs.
ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:ECDHE-RSA-DES-CBC3-SHA:ECDHE-ECDSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:DES-CBC3-SHA:HIGH:SEED:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!RSAPSK:!aDH:!aECDH:!EDH-DSS-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA:!SRP';
ssl_prefer_server_ciphers on;

# HSTS (ngx_http_headers_module is required) (15768000 seconds = 6 months)
add_header Strict-Transport-Security max-age=15768000;

# OCSP Stapling ---
# fetch OCSP records from URL in ssl_certificate and cache them
ssl_stapling on;
ssl_stapling_verify on;

## verify chain of trust of OCSP response using Root CA and Intermediate certs
ssl_trusted_certificate /path/to/root_CA_cert_plus_intermediates;

resolver <IP DNS resolver>;

....
}

เบ‚เปเปเบ™เบฐเบ™เบณเปƒเบซเป‰เบ—เปˆเบฒเบ™เปƒเบŠเป‰เบŠเบธเบ”เบฅเบฐเบซเบฑเบ”เบฅเบฑเบšเป€เบ•เบฑเบก เปเบฅเบฐ OpenSSL เป€เบงเบตเบŠเบฑเบ™เบซเบผเป‰เบฒเบชเบธเบ”เบชเบฐเป€เปเบต. เบŠเบธเบ”เบฅเบฐเบซเบฑเบ”เบฅเบฑเบšเปƒเบ™เบเบฒเบ™เบ•เบฑเป‰เบ‡เบ„เปˆเบฒเป€เบŠเบตเบšเป€เบงเบตเบเปเบฒเบ™เบปเบ”เบšเบนเบฅเบดเบกเบฐเบชเบดเบ”เบ—เบตเปˆเบžเบงเบเบกเบฑเบ™เบˆเบฐเบ–เบทเบเบ™เปเบฒเปƒเบŠเป‰, เบ‚เบถเป‰เบ™เบเบฑเบšเบเบฒเบ™เบ•เบฑเป‰เบ‡เบ„เปˆเบฒเบฅเบนเบเบ„เป‰เบฒ.

เบเบฒเบ™เบ„เบปเป‰เบ™เบ„เบงเป‰เบฒเบชเบฐเปเบ”เบ‡เปƒเบซเป‰เป€เบซเบฑเบ™เบงเปˆเบฒเบกเบฑเบ™เบšเปเปˆเบžเบฝเบ‡เบžเปเบ—เบตเปˆเบˆเบฐเบžเบฝเบ‡เปเบ•เปˆเบ•เบดเบ”เบ•เบฑเป‰เบ‡เปƒเบšเบขเบฑเป‰เบ‡เบขเบทเบ™ HTTPS. "เปƒเบ™เบ‚เบฐเบ™เบฐเบ—เบตเปˆเบžเบงเบเป€เบฎเบปเบฒเบšเปเปˆเป„เบ”เป‰เบˆเบฑเบ”เบเบฒเบ™ cookies เบ„เบทเบเบฑเบšเบ—เบตเปˆเบžเบงเบเป€เบฎเบปเบฒเป„เบ”เป‰เป€เบฎเบฑเบ”เปƒเบ™เบ›เบต 2005, เปเบฅเบฐ 'TLS เบ—เบตเปˆเป€เบซเบกเบฒเบฐเบชเบปเบก' เป„เบ”เป‰เบเบฒเบเป€เบ›เบฑเบ™เป€เบฅเบทเปˆเบญเบ‡เบ—เปเบฒเบกเบฐเบ”เบฒ, เบกเบฑเบ™เบ›เบฒเบเบปเบ”เบงเปˆเบฒเบชเบดเปˆเบ‡เบžเบทเป‰เบ™เบ–เบฒเบ™เป€เบซเบผเบปเปˆเบฒเบ™เบตเป‰เบšเปเปˆเบžเบฝเบ‡เบžเปเบ—เบตเปˆเบˆเบฐเบฎเบฑเบšเบ›เบฐเบเบฑเบ™เป€เบงเบฑเบšเป„เบŠเบ—เปŒเบ—เบตเปˆเบกเบตเบ„เบงเบฒเบกเบ™เบดเบเบปเบกเบซเบผเบฒเบเบ—เบตเปˆเบซเบ™เป‰เบฒเบ›เบฐเบซเบฅเบฒเบ”เปƒเบˆ," เป€เบงเบปเป‰เบฒ เบœเบนเป‰เบ‚เบฝเบ™เบ‚เบญเบ‡เบงเบฝเบเบ‡เบฒเบ™. เป€เบžเบทเปˆเบญเบ›เบปเบเบ›เป‰เบญเบ‡เบŠเปˆเบญเบ‡เบ—เบฒเบ‡เบ„เบงเบฒเบกเบซเบ™เป‰เบฒเป€เบŠเบทเปˆเบญเบ–เบทเบฅเบฐเบซเบงเปˆเบฒเบ‡เป€เบ„เบทเปˆเบญเบ‡เปเบกเปˆเบ‚เปˆเบฒเบเปเบฅเบฐเบฅเบนเบเบ„เป‰เบฒ, เบ—เปˆเบฒเบ™เบˆเปเบฒเป€เบ›เบฑเบ™เบ•เป‰เบญเบ‡เป„เบ”เป‰เบ•เบดเบ”เบ•เบฒเบกเบเบงเบ”เบเบฒเป‚เบ„เบ‡เบชเป‰เบฒเบ‡เบžเบทเป‰เบ™เบ–เบฒเบ™เบขเปˆเบฒเบ‡เบฅเบฐเบกเบฑเบ”เบฅเบฐเบงเบฑเบ‡เบˆเบฒเบเป‚เบ”เป€เบกเบ™เบเปˆเบญเบเบ‚เบญเบ‡เป€เบˆเบปเป‰เบฒเป€เบญเบ‡เปเบฅเบฐเป€เบˆเบปเป‰เบฒเบžเบฒเบšเบžเบฒเบเบชเปˆเบงเบ™เบ—เบตเบชเบฒเบกเบˆเบฒเบเป€เบ™เบทเป‰เบญเบซเบฒเบชเปเบฒเบฅเบฑเบšเป€เบงเบฑเบšเป„เบŠเบ—เปŒเบ—เบตเปˆเบ–เบทเบเบชเบปเปˆเบ‡. เบšเบฒเบ‡เบ—เบตเบกเบฑเบ™เบญเบฒเบ”เบˆเบฐเป€เบฎเบฑเบ”เปƒเบซเป‰เบ„เบงเบฒเบกเบฎเบนเป‰เบชเบถเบเบ—เบตเปˆเบˆเบฐเบชเบฑเปˆเบ‡เบเบฒเบ™เบเบงเบ”เบชเบญเบšเบˆเบฒเบเบšเบฒเบ‡เบšเปเบฅเบดเบชเบฑเบ”เบžเบฒเบเบชเปˆเบงเบ™เบ—เบตเบชเบฒเบกเบ—เบตเปˆเบกเบตเบ„เบงเบฒเบกเบŠเปˆเบฝเบงเบŠเบฒเบ™เบ”เป‰เบฒเบ™เบ„เบงเบฒเบกเบ›เบญเบ”เป„เบžเบ‚เปเป‰เบกเบนเบ™.

HTTPS เบšเปเปˆเบ›เบญเบ”เป„เบžเบชเบฐเป€เปเบตเป„เบ›เป€เบ—เบปเปˆเบฒเบ—เบตเปˆเบกเบฑเบ™เป€เบšเบดเปˆเบ‡เบ„เบทเบงเปˆเบฒ. เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเบ—เบตเปˆเบžเบปเบšเป€เบซเบฑเบ™เบขเบนเปˆเปƒเบ™ 5,5% เบ‚เบญเบ‡เป€เบงเบฑเบšเป„เบŠเบ—เปŒ HTTPS

เปเบซเบผเปˆเบ‡เบ‚เปเป‰เบกเบนเบ™: www.habr.com