Er HTTPS det nye inden for SEO?

Advarsel; mit indlæg bliver formentlig lidt langt :)  Der er 2 ting i det for mig; jeg interesserer mig enormt meget for emnet og så sælger jeg SSL certifikater - men nummer 2 kun fordi nummer 1 er til stede. 

Min personlige holdning er, at alle forbindelser via internettet burde være krypterede, fordi det fjerner muligheden for diverse myndigheder og andet via ISP'erne kan sidde og lytte med. Essentielt set, så vil et krypteret internet betyde at ISP'erne kun leverer det de skal; nemlig båndbredde. Nå, men nok om politik.

Tue svarer rigtig fint på spørgsmålene, men jeg har et par enkelte tilføjelser til noget af det:

Netlabs:

over 70% af vores trafik, kommer fra mobile enheder, derfor skal jeg altså op i et dyre certifikat, eksempelvis geotrust quickssl premium. 
Men er det så korrekt forstået at jeg skal have to DV certifikater, hvis jeg bruger to forskellige sider. (mitdomæne.dk og m.mitdomæne.dk)

Det kan ikke svare sig at købe et EV (Extended validation), da dette bliver langt dyrer...

Det kommer an på hvor gamle de enheder er. RapidSSL er en stor CA og ér present i alle moderne browsere - også på mobile enheder. Du skal faktisk helt tilbage til Android 2 før RapidSSL CA'en ikke er der. I 2010 blev RapidSSL CA'en udskiftet med en ny hvor der var 2 forbedringer; 2048 bit key og introduktionen af intermediate certificate. Long story short; mere sikkerhed. 

Så hvis du har brugere på en bred vifte af mobiltelefoner som også indebærer nogle af de aller første smartphones, så vil jeg anbefale et GeoTrust eller Symantec certifikat. GeoTrust er klart det mest overkommelige prismæssigt. Hvis dine brugere kommer fra nogenlunde moderne enheder, så bør RapidSSL gøre det fint.

Med hensyn til EV (Extended Validation), så er CA'ernes udmelding jo at det giver brugerne mere tryghed. Vi er i øjeblikket i dialog med en af vores kunder som driver en stor dansk webshop, hvor vi vil køre en test case med HTTPS via et EV cert på hele deres shop og se resultaterne - rigtig spændende case, som naturligvis giver os muligheden for at vejlede bedre.

Tue Skaarup:

HTTPS betyder, alt andet lige, mere processeringsarbejde for webservere og for browserklienterne til kryptering/dekryptering. Samtidig er der flere roundtrips i HTTPS end i HTTP. Fakta, som Google gjorde meget ud af at imødegå på deres 

">præsentation på Google I/O 2014 for et par måneder siden. De fik det nærmest fremstillet som en hastighedsgevinst at overgå til HTTPS, og det er det altså ikke.

Det giver lidt overhead, men med moderne CPU'er så er det faktisk minimalt hvad det betyder. Tilgengæld, så ér SPDY faktisk virkelig godt lavet og nedsætter væsentligt både svartider og kravet til serverpower - hvilket essentielt set igen leder til bedre performance. 

SPDY begynder også så småt at have bred implementering og jeg har ikke personligt lavet benchmarks men det er noget jeg ganske snart regner med at skal kigge på, så jeg igen har min egen konkrete viden at gå med. 

Tue Skaarup:

Ja, GeoTrust er vist en af de større CA'er. Tag også et kig på DigiCert, de har et godt ry for kvalitet og service. Check også at certifikatet er med 2048-bit kryptering.

Vær obs. på at 2048 bit er nøglestørrelsen og ikke styrken på krypteringen der etableres. Den vil typisk være 128 eller 256 bit. 

Tue Skaarup:

Det er én mulighed, at købe 2 standard certifikater til de 2 subdomæner. En anden mulighed er at købe et wildcard subdomænecertifikat, der favner samtlige subdomæner du måtte få brug for. 2 standard certifikater er dog nok billigere end et wildcard certifikat, så hvad der kan betale sig, afhænger af om du regner med at tage flere subdomæner i brug senere.

Vær obs. på at hvis man køber 2 certifikater skal man enten have 2 IP adresser eller benytte sig af SNI (Server Name Indication). SNI er ved at være supporteret over det hele, dog ikke på Windows XP. Ellers så firefox 2+, opera 8+, IE 7+ (på vista eller nyere), Chrome eller Safari 3+ 

Tue Skaarup:

EV certifikater er blot en anden finere og dyrere type certifikater, og kan ligesom almindelige certifikater fås til enkelt domæne og wildcard subdomæner. Så du må ikke forveksle EV certifikater med multi-domæne certifikater eller wildcard certificater.

Man kan ikke få wildcard EV certifikater. CA/Browser Forum vedtog at hvert eneste navn der udstedes EV til skal være valideret med den temmelig rigide EV validation process. De er temmelig seriøse omkring EV. 

Hej Frands

Dejligt at få besøg af en SSL leverandør, og tak for dit meget dybdegående og kompetente indlæg.

Lad mig starte med dine inputs/korrektioner:

Frands:

Det giver lidt overhead, men med moderne CPU'er så er det faktisk minimalt hvad det betyder. Tilgengæld, så ér SPDY faktisk virkelig godt lavet og nedsætter væsentligt både svartider og kravet til serverpower - hvilket essentielt set igen leder til bedre performance. 

SPDY begynder også så småt at have bred implementering og jeg har ikke personligt lavet benchmarks men det er noget jeg ganske snart regner med at skal kigge på, så jeg igen har min egen konkrete viden at gå med.

Jeg tror vi skal passe på med at negligere den øgede CPU belastning pga. HTTPS. Jeg ved godt at CA'er m.fl. nedtoner betydningen, men det er vigtigt at gøre sig klart, at SSL rent faktisk giver en mærbar forøgelse af CPU load. Så er folk forberedt på det og kan deale med det.

I den forbindelse skal vi huske på, at de fleste applikationer kører langsommere, jo mere CPU'en er belastet. En applikation der kører på en 50% belastet core, vil oftest afvikles hurtigere end på en 55% belastet core.

At SPDY protocollen (som jeg i øvrigt synes er en fed teknologi) giver hurtigere - sideloadtider end HTTP, er helt fint. Men det gør den altså også uden SSL. At anbefale, som det fremgår af bl.a. Googles argumentation, et skift til HTTPS og samtidig skift til SPDY, for at fikse hastighedsproblemet med HTTPS, gør det ligesom ikke nemmere at være websiteejer.

Frands:

Vær obs. på at 2048 bit er nøglestørrelsen og ikke styrken på krypteringen der etableres. Den vil typisk være 128 eller 256 bit.

Du har ret, my bad, de 2048 bit er key-length. Jeg tog den med fordi Google specifikt nævner de 2048 bit key-length, så det er værd at være opmærksom på, hvis man skal skifte til HTTPS.

Frands:

Man kan ikke få wildcard EV certifikater. CA/Browser Forum vedtog at hvert eneste navn der udstedes EV til skal være valideret med den temmelig rigide EV validation process. De er temmelig seriøse omkring EV.

Ja, det er rigtigt. EV kan ikke fås til wildcard subdomæner, jeg forvekslede det med multi-domæner.

Frands:

Sandheden er, at hvis forbindelsen er ukrypteret så vil man i princippet in-transit kunne skille pakkerne ad og injecte data i dem.

Ja, og det er bl.a. de argumenter, der fremhæves for at skifte til HTTPS. De fleste vil ikke være berørt eller de vil være ligeglade, men jeg er enig i, at det er et grundlæggende problem at det kan lade sig gøre så nemt. Der er noget principielt rigtigt i "HTTPS Everywhere".

Frands:

Men dét vil også være rigtig fint til dem.

Hvad jeg forsøgte at argumentere for er, at DV certifikater uden virksomhedsvalidering måske ikke giver Google det SEO-spam signal, de måske også er ude efter med HTTPS initiativet. Det er ren spekulation, men man kan forestille sig at standard validerede certifikater og EV certifikater på et tidspunkt får en højere stjerne hos Google end DV certifikater. Ikke som direkte rankingfaktor, men indirekte som et spamsignal.

Frands:

Nu ved jeg godt at jeg måske taler lidt imod min egen forretning - men ønsker man blot krypteringen og slippe for grimme warnings, ja så er DANE et rigtig fint svar

DANE og i det hele taget DNSSEC er nyt område for mig, som jeg nok skal have sat mig ind i. Spændende vinkel med komboen af DANE og standard/EV certifikat.

Omkring certifikater i almindelighed, savner jeg en detaljeret sammenligning af de vigtigste certifikatudbydere og deres certifikattyper. Lidt i stil med DigiCerts opstilling, bare endnu mere detaljeret.

Var det ikke noget for dig at sætte op på dit website? Du kan også til sammenligning inddrage certifikatudbydere og certifikattyper, som du ikke forhandler, hvis du gør det på en sober og tillidsvækkende måde.

I den forbindelse kom jeg til at tænke på, at der nok er mange der kommer til at få brug for ekspertice og detaljeret rådgivning ifm. valg, implementering og kvalitetscheck af certifikater.

Du tilbyder allerede hjælp til implementering på en række platforme, men tænk hvis du kunne tilbyde detaljeret rådgivning, hastighedscheck, hastighedsoptimering, valideringscheck, sikkerhedsaudit mv. Evt. også i samarbejde med hostingfirmaer, som ofte ikke har de fornødne kompetancer.

Mht. optimering af sideloadhastighed på HTTPS, har Ilya Grigorik fra Google skrevet - lidt om det. Han har også skrevet bogen "High Performance Browser Networking" med et kapitel om TLS og optimering af TLS.

Denne her er også ret interessant:

Frands:

Med hensyn til EV (Extended Validation), så er CA'ernes udmelding jo at det giver brugerne mere tryghed. Vi er i øjeblikket i dialog med en af vores kunder som driver en stor dansk webshop, hvor vi vil køre en test case med HTTPS via et EV cert på hele deres shop og se resultaterne - rigtig spændende case, som naturligvis giver os muligheden for at vejlede bedre.

Meget fint initiativ at få testet virkningen af de farvestrålende EV certifikater.

Jeg har tidligere været konfronteret med spørgsmålet om, hvad den grønne browserbar inkl. firmanavn mon betyder for tilliden og konverteringsraterne. Enden på det dengang, blev et ræsonnement om at tillid/konverteringsrater nok i hvert fald ikke blev dårligere med EV, og vi endte med at vælge EV på et ikke særlig oplyst grundlag.

Faktisk kan det måske vise sig at EV forringer konverteringsraterne, som nogen har oplevet.

Når I nu tester virkningen af den grønne browserbar, så tror jeg I skal være forberedt på at forskellene vil være små. F.eks. vil en test, der den første uge kører med EV certifikat og den næste uge med standard certifikat, nok blive druknet i de mange andre parametre, der når at ændre sig i perioden.

Så det skal nok være en regulær A/B-test, hvor de 2 varianter køres samtidig, selvom det er noget mere bøvlet at sætte op. Derudover ville jeg, udover almindelige konverteringsmålinger, nok også få sat målepunkter op for brugertilfredshed/engagement og følge dem i A/B-testen.

Er spændt på at høre om resultatet.

Frands:

Jeg kan desværre ikke se dit link, tror du glemte selve linket

Linket virker fint her, ellers får du det her: http://scn.sap.com/community/netweaver/blog/2013/06/23/whos-afraid-of-ssl

Frands:

Det gør den faktisk ikke. SPDY kan ikke køre over regulær TCP, der skal være TLS.

Det kan den vist godt, der er bare ingen der gør det i praksis. Min lidt kludrede pointe var egentlig bare, at "sælge" HTTPS med argumentet om, at man bare kan optimere sig ud af hastighedstabet ikke rigtig holder, for man kan jo også optimere fint uden HTTPS.

Frands:

En sammenligning fra en der sælger et givent produkt, hvor der inddrages konkurrenter - det vil jo altid være biased, fordi jeg selvfølgelig har en interesse i at mit produkt altid skal fremstå bedst. Det er kun naturligt, men hvis sådan en sammenligning skal være rigtig god, så skal den være udført af en uvildig third party som ingen interesse har i at noget, skal se bedre ud end andet.

Enig, det er nok bedst. Det kan være jeg på et tidspunkt sætter sådan en sammenligning op med stort detaljeniveau.