京东的修改密码那里没上 https？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

工单节点使用指南

• 请用平和的语言准确描述你所遇到的问题

• 厂商的技术支持和你一样也是有喜怒哀乐的普通人类，尊重是相互的

• 如果是关于 V2EX 本身的问题反馈，请使用反馈节点

这是一个创建于 2916 天前的主题，其中的信息可能已经有所发展或是发生改变。

于是京东上 https 的目的只是为了防劫持么（还没防手机上的劫持……

劫持

京东

密码

修改

5 条回复 • 2016-12-18 20:44:01 +08:00

9hills

2016-12-18 10:34:29 +08:00

项目立项讨论会现场：

BOSS ：小 A 啊，你做的这个 HTTPS 有什么收益啊，需要多少成本啊？
小 A ：报告老板， HTTPS 一可以防劫持，据我们监控发现，上线 HTTPS 后， PC 端劫持可以从 3.0%降低到 0.3%，预计年度增加收入 xxx 万。二 HTTPS 可以提高用户安全性，避免用户信息泄露。成本方面， HTTPS 全站化需要新增 XXX 台服务器，折合成本 xxx 万

BOSS ：这么贵？看起来会亏本啊，能不能省点钱？
小 A ：那就只做防劫持，这样只需要新增 xx 台服务器，折合成本 xx 万。但是用户隐私也很重要。。。

BOOS ：就这么定了，用户信息么，反正泄露了就说是被撞库啦，别人家漏的。
小 A ：。。。。。

Zohar

2016-12-18 10:36:32 +08:00 via Android

@9hills 專業段子手😂

seashell

2016-12-18 10:37:41 +08:00

@9hills 有一种钦定的……

rhen

2016-12-18 13:56:24 +08:00 via Android

https://www.ssllabs.com/ssltest/analyze.html?d=safe.jd.com
确实有部署 HTTPS ，但测试里 XP 打不开，可能因为这个所以没跳，建议手动加入浏览器的 HSTS 列表

elfive

2016-12-18 20:44:01 +08:00

@rhen
首先 XP 下的 IE 、 Chrome 不滋瓷 SNI ；火狐自带 SSL 库，所以这个它是滋瓷的。
其次 XP 系统不支持 SHA-256 的证书（当然安装了最新的补丁包可以支持）和一些更安全的协议，比如： TLS 1.1 和 TLS 1.2 协议。想要让其能够访问 HTTPS ，只能启用那些有已知漏洞的协议，比如 SSLv3 和 TLS 1.0 等。