TLSによるHTTPの暗号化の必要性

Question

重要な情報をやり取りしないのであればTLSによって暗号化したHTTPSでなくHTTPで通信しても問題ないのでしょうか

Comments

[ockeghem]

「重要な情報」というのはどの程度のものを考えていますか? 今どきは、企業のオフィシャルサイトに掲載する公開情報でも「重要な情報」としてHTTPSにすることが一般的になりつつありますが。

[maikeru]

個人情報やアプリケーションで利用するパスワードを考えています。

[ockeghem]

個人情報やパスワードはやり取りしないという意味ですよね。これらをやりとりしないことはわかりましたが、やりとりする情報（表示する情報）はどのようなものでしょうか。

[maikeru]

シンプルなブログを想定しています。

Answer 1

重要な情報をやり取りしないのであればTLSによって暗号化したHTTPSでなくHTTPで通信しても問題ないのでしょうか

上記の観点が、通信情報の秘匿のみであれば問題ないかと思います。

ただし、一般的に https を採用する場合は別の観点でも評価されます。

・改ざんの検出
・なりすましの検出
・(google 対応)
・(HTTP/2 のため)

新規のサイトであれば、https 対応させることはそれほど高いハードルではないため、個人的には採用を強くオススメします。

Answer 2

「シンプルなブログを想定」ということですが、ブログであればパスワードによる認証があるのですよね。そのログインは「重要」ではないでしょうか。不正ログインされて、記事を改ざんされたり、勝手な記事を投稿されるのはかなりのリスクだと思いますよ。

Answer 3

重要な情報をやり取りしないのであればTLSによって暗号化したHTTPSでなくHTTPで通信しても問題ないのでしょうか

• 閲覧者に「保護されていない接続」と出てしまうこともあるけど、それは気にしない
• HTTP/2やGeolocationなど、HTTPSでしか使えない機能を一切使わない

などのデメリットを背負っていいのであれば、お好きにどうぞ。

常時SSL化について（JPRS）