質問: SSLで保護されたログインページはあるものの、保護されていないトップページなどにもログインフォームが存在するサイトをたまに見かけます。 このような状態だとフォーム内容のPOSTリクエスト自体はSSLで保護されていますが、ログインフォームそのものが改竄されたページに誘導された場合に、入力した情報が盗まれる可能性があると思います。(いわゆるフィッシング) ある程度規模の大きなサイトでも例があるので何か理由があるのではないかと思っていたのですが、 これはセキュリティリスクがそこまで高くないということなのか、あるいはSSLにするデメリットが大きいのでしょうか。
回答: 例えば、とりあえずスモールスタートで http で始めて、紙などの広告触媒で http で印刷してばら撒くなどして導線を確立してしまい、その後 https の対応を慌ててやったような場合は、ご質問にあるような状態がありえるような気がします。(つまり技術とはあんまし関係ない理由で、ですかね。。) が、なんとなく「ある程度規模の大きなサイト」になれば http へのアクセスを https に無言でリダイレクトさせるような作りになっていくような気もしますので、「ある程度」に段階があるんじゃないかな、と想像します。(twitterなんかも最初はなにもかもだだ漏れだったような記憶があります)