ログイン後にURLがhttpsにならないサイト

質問

会員専用コンテンツが存在する、とあるサイトを会社で運営しております。
（構築を行った訳ではありません） 「.NET」で構築されております。

ログインページはhttps://でSSL保護しているのですが、現状の仕様では、ログイン後はサイトの全部のページ（会員専用ではないものも含め）のＵＲＬがhttps://になります。

おかげで、マーケティング関連のタグ（http://で、外部サーバを呼びに行く）を張ってあるページを表示すると、ログイン後はIEの「セキュリティで保護されたWebページコンテンツのみを表示しますか？」という警告が表示されてしまいます。

一方で、hotmailやexcite、Amazon、楽天など、世の中の大半の会員制サイトは、ログインページだけはhttps://ですが、ログイン後は全ページともURLが「http://」になります。

これは、「入力ページのみをSSLで保護し、他のページは（入力の必要がないから）保護しない」という作りになっているのでしょうか。それとも、ブラウザ上に表示されるURLが「http://」でも、実は裏でSSL保護がかかっているのでしょうか。

今の当社のサイトの作りがおかしい（ダサい？）のか、どなたか教えて頂ければ幸いです。

回答No.1

t_ohta · ベストアンサー

ログイン後「http://」になるサイトは、ID・パスワードなど保護が必要なページだけSSL通信にし、保護の必要が無いページは通常のHTTP通信にしています。

ただ、最近のトレンドとしてはサイト全体をSSL化するというのもあります。（Google、Facebookなど）

どちらが正しいという物ではなく、運営者のポリシーの問題です。
HTTPSのページ内にHTTPのコンテンツを埋め込むとセキュリティー警告が出ますので、サーバ側で中継するなどして警告を回避するといいと思います。

お礼

早速のご回答誠にありがとうございます。
やはり巷のサイトは、必要なページだけをSSLで保護していたのですね。

一方で、常時SSLが最近のトレンドなのは事実のようですね。
https://www.verisign.co.jp/ssl/first/always-on-ssl/faq.html#a01
（そもそも上記サイトもSSL保護の必要性は全く無いのにずっとかかってますね）

＞どちらが正しいという物ではなく、運営者のポリシーの問題です。
当時の構築担当者のポリシーだったのでしょうね。

ありがとうございました。