对 SSL 站点进行 API 调用的非 SSL 站点答案

【问题标题】：Non-SSL site making API call to SSL site对 SSL 站点进行 API 调用的非 SSL 站点
【发布时间】：2013-12-03 02:56:46
【问题描述】：

抱歉，我知道这是一个非常简短的问题，但 Google 似乎没有帮助（我想我没有在搜索正确的短语或一组关键字）。

如果我有一个不受 SSL 保护的站点，并且它对 https 站点进行 api 调用，那么该信息是安全的还是我也需要 SSL？

我想确保我的用户数据安全。

只有 API 调用（请求）中的数据需要受到保护。 API（响应）返回到我的（非 SSL）网站的数据没有意义或不敏感。

提前致谢。

【问题讨论】：

没有 SSL -> 没有安全性。如果通过该连接传递的信息不是“有意义的或敏感的”，那么您可能不需要 SSL。但它不会影响在第一台服务器上生成并通过 SSL 传递给浏览器的数据。

【解决方案1】：

对 SSL 站点的调用将受到保护，但如果它是多跳（客户端到非 SSL 到 SSL 站点）并且第一跳上的数据是纯文本。

然而，正如@VictorRonin 所说，安全性是一个比 SSL 更重要的问题。

【讨论】：

【解决方案2】：

通话受到保护。您的网站与另一个网站（受 SLL 保护）通信将在受保护的频道内发送和获取信息。

但是，很难说您的用户数据是否安全。安全需要的不仅仅是使用 SSL。

【讨论】：

感谢您的回复。我正在采取措施保护页面的其余部分和进程，我目前主要关心的是通过非 SSL 连接传输敏感数据。那么如果我理解正确的话，只要一个站点有SSL，数据的上行和下行传输都受到保护？