La publicación de Formulario HTML Valores a Través de HTTPS

Question

Tengo un sitio web que está utilizando actualmente https para el inicio de sesión seguro y transacciones.Usted no puede navegar a la página principal, a menos que usted de inicio de sesión.

He recibido un pedido de un socio que se han preguntado si pueden navegar sin problemas a nuestro sitio desde su propia aplicación web, sin necesidad de iniciar sesión en.Hay sitio también está el uso de https.

He configurado un "PartnerLoginPage.aspx" de la página, y les permitió PUBLICAR html valores del formulario en esta página (que tiene el usuario correcto detalles de inicio de sesión).Entonces me autenticar sobre la base de los valores expuestos y los redirigirá a la página principal.Ellos no necesitan de inicio de sesión a continuación, ya he autenticado ellos y funciona perfectamente.

Mi mayor preocupación es que esto no es una forma segura de autenticar al usuario.Si usted publica html valores del formulario en una página https es a los datos cifrados?Acaba de salir de interés, si su sitio no era un sitio http (es) sería de los datos se cifran?

como por ejemplo, SU HTTPS-> FORMULARIO de VALORES POST -> NUESTRO HTTPS -> SON POST de FORMULARIO de DATOS de los VALORES ENCRYTPED?

y

SU HTTP (nota:no 's') ->FORMULARIO de VALORES POST -> NUESTRO HTTPS -> SON POST de FORMULARIO VALORES ENCRTYPED?

Gracias por la ayuda,

Stuart

Answer 1

Suponiendo que todas las claves son válidas, por supuesto ...

Si la solicitud se hace una página https, entonces la petición está cifrada (es decir, los valores de la POST, que se envían a través de la solicitud, se cifran, independientemente de su destino).

Si la solicitud se hace de una página que no es https a una página https, la solicitud no es encriptada, pero la respuesta sería, por lo que las variables de correos no están cifradas (pero el valor devuelto sería).

HTTPS establece esencialmente si el servidor / página que está hablando está utilizando el cifrado o no, así http -> https = no cifrada petición, la respuesta cifrada, https -.> Http =-petición cifrada, la respuesta no encriptado

Por supuesto, hay niveles de seguridad que se pueden establecer en el nivel de guión, pero no creo que su respuesta está preocupado por eso.

Quick Post Script

¿Por qué no le das los sitios asociados de una cuenta de servicio como "Nombre de usuario: socios, PW: sheswithme" o algo así? Se podría usar cURL para establecer la cookie y pasar las variables de servidor y hacer que señalen su forma a un guión que hace la solicitud en lugar de tener sus usuarios tener acceso semi-directa a su script.