Newsgroup: it.comp.www.php
Titolo: Passaggio a servizio HTTPS

Ciao a tutti, come posso, partendo da un'applicazione correttamente 
funzionante, passare ad HTTPS??
Grazie

 Hai il server sotto mano oppure te lo ospita qualche società?
Grazie per le preziose informazioni
... ho il server (anche se è windows con apache per windows)
quindi, nel dettaglio, cosa dovrei fare?
- Richeidere un certificato ... costo indicativo?? caratteristiche?? 
quale società mi consigli?
- Come configuro Apache?
Grazie ancora!

 Grazie ancora!
http://guide.debianizzati.org/index.php/Apache,_SSL_e_CaCert.Org
La guida è per Linux Debian, ma le configurazioni di apache sono
cross-platform. Prendi spunto da lì e dal manuale di apache.
Enrico

Grazie per l'aiuto e per le info
La situazione è questa: web application alla quale si possono connettere 
solo alcune postazioni remote (forza vendite) esterne.... cosa mi 
suggerisci??
Grazie ancora

Please help me!

 suggerisci??
HTTPS ti serve solo per crittare il traffico durante il trasferimento, non 
per proteggere un'area con password.
A te https, probabilmente, non serve a niente. Ti serve un sistema di 
autenticazione, che puoi fare in PHP o, se si tratta di una intera 
directory/sito, con Apache + HtPasswd
Bye.

 directory/sito, con Apache + HtPasswd
Perdonami ma credo proprio di non essere ridotto cosi male... so 
benissimo come gestire e a cosa serve un sistema di autenticazione.
Ho accennato al fatto che l'accesso alla web application era limitato a 
pochi utenti (conosciuti) solo per far capire che non sono previsti 
accessi dal "mondo internet" (inteso nel modo piu vasto) ma solo da 
parte di utenti già in qualche modo identificati.... quindi non sarebbe 
un problema far visualizzare una finestra di avviso relativa alla 
conferma di un certificato non "ufficialmente riconosciuto"
detto questo, che strada mi consigli di seguire??
intendo:
1) Quindi riassumendo, installo il modulo apache per gestire SSL
Le operazioni di configurazione ed installazione del modulo SSL di 
apache sono le medesime su Linux e Windows??
2) Ottengo un certificato... a questo punto potrei usare un servizio 
free, dato che gli utenti sono limitati e conosciuti (quindi potrei 
avvisarli dell'avviso  visualizzato) ... esistono servizi free senza la 
limitazione della scadenza?? mi sembrava di averne visti ma ora non 
riesco piu a trovarli
3) Installo il certificato
Grazie per l'aiuto e scusa per la raffica di domande!

 3) Installo il certificato
Se non ti interessa che appaia la finestra puoi anche crearti da solo 
il certificato senza chiederlo a nessuno. Apache ha dei tool che ti 
fanno una raffica di domande e alla fine ti creano il certificato nel 
posto giusto.
In Debian, appena installi Apache-SSL, te le fa durante l'installazione 
e ti trovi il server gia` quasi pronto. Basta definire il VirtualHost.
Pero` qui siamo un po' OT, ti conviene chiedere su 
it.comp.os.linux.software (per Linux) o it.comp.reti.ip-admin (per SSL 
in generale).
Bye.
Bye.
 

Grazie per le info... ultima domanda, prima di andare OT
che differenza c'è tra un certificato "ufficiale" ed uno creato da zero?
Grazie

 che differenza c'è tra un certificato "ufficiale" ed uno creato da zero?
Che quello ufficiale il browser lo prende automaticamente, mentre quello 
non ufficiale (non firmato dalle CA) mostra la finestra e informa l'utente 
che quel certificato non e` firmato.
Bye.

Alessandro Pellizzari ha scritto:

Perfetto, come avevo intuito... quindi essendo utenti "conosciuti" credo 
che non sarebbe un problema la soluzione di geneare il certificato 
tramite apache!
Mi è chiaro che con SSL le connessioni vengono criptate ma non sono 
richiesti requisiti particolari hdw o software? Basta installare il 
modulo SSL di apache??? Strano... mi chiedo perchè tutti non lo fanno a 
questo punto....

 questo punto....
Per due motivi: prestazionale ed economico.
Prestazionale, perche`, per quanto poco, crittare ogni oggetto (pagina, 
css, js, immagini, video, ecc.) che passa sulla linea ha un peso sul 
server non indifferente.
Non puoi nemmeno usare il doppio host protetto/non-protetto, perche` il 
browser apre una finestra con scritto "alcune parti di questa pagina 
vengono caricate da una connessione non protetta", che psicologicamente e` 
un deterrente (non sai quali sono...).
Economico, perche` un certificato firmato costa molto, e usarne uno non 
firmato porta all'apertura della suddetta finestra, che come prima riga 
recita "La protezione di questo sito non e` garantita" (piu` o meno), che 
allontana piu` gente di quanta non porti. Puoi farlo solo con utenti 
conosciuti/informati del fatto.
Bye.

Grazie per tutte le info... ora farò alcune prove.
Ultimo dubbio, il fatto che l'applicazione faccia riferimento alle 
pagine con path assoluto o relativo comporta delle problematiche in fase 
di configurazione e attivazione del certificato?
Grazie

 di configurazione e attivazione del certificato?
No. Il certificato viene totalmente gestito da Apache (o dal server web 
che usi). Una volta che rimani dentro al dominio, con protocollo https, 
sono trasparenti, non gli importa dei path.
Bye.

> Bye.
Grazie ancora di tutto!!!

 Bye.
Ciao

 e tradotto in soldoni, dove si va' a cadere piu' o meno ?
Non vorrei sparare cifre a caso, ma mi sembra che l'ultima volta costasse 
5-6.000 euro.
Bye.