Cómo HTTPS afecta el rendimiento del sitio

“S” en HTTPS significa “seguro” y esta seguridad es proporcionada por SSL (alias TLS). Es lógico asegurar su sitio, ¿verdad? Después de todo, hay hasta 90,000 ataques en sitios de WordPress cada minuto. Pero por alguna razón, hay un mito generalizado de que SSL es lento. Que instalar un certificado SSL en su sitio ingresará demasiados gastos generales y disminuirá la velocidad. Puede haber sido el caso hace más de una década, pero es 2018 y las búsquedas de Google ahora son realizadas por HTTPS para 40,000 búsqueda por segundo.
De hecho, cuando Google fue a HTTPS para todos por defecto, el gigante de la búsqueda no implementó automóviles adicionales o hardware especial. Ingeniero de software senior del personal de Adam Langley, que trabaja en la Servicio HTTPS y Chrome de Google, escribe que SSL tiene un impacto limitado en el rendimiento web: en nuestras máquinas de producción de fin de producción, SSL/TLS representa menos el 1% de la carga del procesador, menos que 10 kB de memoria por conexión y menos del 2% de la sobrecarga de la red. Si Google puede implementar SSL, puede. Además, tiene que ser algo en julio, cuando se lance el Chrome 68, los sitios web que no usan HTTP se etiquetarán como “no secretados” en la barra de direcciones.
En esta publicación, analizaremos cómo HTTPS afecta el rendimiento del sitio web, así como algunos consejos sobre cómo mejorar el rendimiento de HTTPS para su sitio. ¿Cuál es la diferencia entre SSL y TLS? Pero primero, es posible que se pregunte cuál es la diferencia entre SSL (capa Socret) y TLS (seguridad de la capa de transporte). Interesante es que no hay diferencia. TLS se introdujo como sucesor SSL 3.0 en 1999 y fue diseñado para resolver la inseguridad del protocolo SSL. Entonces, ¿por qué las personas SSL dicen en lugar de TLS después de tanto tiempo? A las personas en la industria de la seguridad les gusta tanto SSL que han seguido usando el acrónimo y aún lo usan hasta ahora. Empresas como Comodo no han cambiado los nombres de los certificados SSL a los certificados TLS. El software operativo SSL en un servidor, como OpenSL, no ha cambiado su nombre a OpenTLS. El nombre SSL estaba enraizado y simplemente bloqueado. En cuanto al cambio de nombre del Protocolo SSL, parece que era más bien por razones políticas que técnicas. Tim Dierks, el director de protección de datos en Google, escribe que a mediados de la década de 1990, durante el Netscape y Microsoft Browser Wars, muchas negociaciones estuvieron involucradas durante el desarrollo del Protocolo SSL y, finalmente, la gerencia (y la propiedad) de los Estándar: como parte del comercio de caballos, tuvimos que hacer algunos cambios en SSL 3.0 (para que no parezca que [la Fuerza de Tarea de Ingeniería de Internet] solo obtuviera el protocolo NetScape) y tuviera que cambiar el nombre del protocolo (por la misma razón) . ). Y así nació el TLS 1.0 (que de hecho era SSL 3.1). Y, por supuesto, ahora, en retrospectiva, todo parece estúpido.
Y así nació TLS. Pero de todos modos, todos continuaron diciendo SSL. Nota: Para el resto de esta publicación, usaré SSL y TSL indistintamente. Http vs https? Http significa protocolo de transferencia de hipertexto. Al ingresar una URL en la barra de direcciones precedida por http: //, le dice al navegador que se conecte al sitio web a través de HTTP. A su vez, HTTP utiliza el Protocolo de control de transmisión (TCP) para enviar y recibir paquetes de datos a través de la web para cargar el sitio al que desea acceder. HTTPS significa seguridad del protocolo de transferencia de hipertexto. Al ingresar una URL precedida por https: //, le dice al navegador que se conecte a través de HTTPS, que también usa TCP. Pero lo hace en una conexión encriptada por TLS. Prácticamente, se necesita el protocolo HTTP y simplemente pone una capa de cifrado de TLES por encima de él. Los servidores y los clientes continúan comunicando exactamente el mismo HTTP entre sí, pero a través de una conexión TLS segura que cifra y descifra sus solicitudes y respuestas. La capa SSL tiene dos objetivos principales:
Se verifica si se comunica directamente al servicio del que cree que está hablando y
Se asegura que solo el servidor puede leer lo que envía y solo usted puede leer lo que envía.
Lo que es tan inteligente en TLS/SSL es que cualquiera puede interceptar los mensajes que cambia con un servidor, incluidos aquellos que están de acuerdo con la clave y la estrategia de cifrado para usar, pero aún no puede leer ninguno de los datos reales que se envían.
El apriete de mano TLS agrega una cierta latencia al cambiar a HTTPS: las manos iniciales TLS requieren dos viajes redondos antes de configurar la conexión, en comparación con solo una a través de un puerto HTTP ilimitado. Pero, como en el ejemplo de Google que mencioné anteriormente, es mínimo. En 2010, Google introdujo False Start, una técnica que reduce la latencia de un apretón de manos TLS en un 30%. Pero abandonó el proyecto un año después, porque permaneció incompatible con una gran cantidad de sitios web que usan terminadores SSL, que descargan el procesamiento SSL de los servidores. Sin embargo, el inicio falso no está completamente muerto, todavía funciona para el sitio que aceptan los servidores que aceptan La extensión NPN. El cifrado asimétrico también es un proceso de cifrado entre navegador y servidor en el que intercambian información utilizando un proceso conocido como cifrado asimétrico. Establece un canal de comunicaciones segura a través del cual se cambia una clave de sesión, lo que permite que el navegador y el servidor cambien a un proceso de cifrado más rápido como cifrado simétrico. El cifrado asimétrico es más lento que el cifrado simétrico debido a la mayor longitud de las claves premium y la complejidad de los algoritmos de cifrado. Sin embargo, las pruebas entre conexiones encriptadas e ilimitadas revelan una diferencia de solo 5 ms y un aumento máximo en el uso del procesador de solo el 2%. Con docenas de solicitudes paralelas y cientos de solicitudes secuenciales, el uso del procesador durante las pruebas nunca ha excedido el 5%.
Reanudación de la sesión La reanudación de la sesión mejora considerablemente el rendimiento de TLS al recordar información de una negociación de sesión de TLS anterior para evitar a las partes más intensas desde un punto de vista computacional. TLS ofrece dos mecanismos para reanudar la sesión: ID de sesión (donde el servidor y el cliente almacenan cada condición secreta) y boletos de sesión (donde el cliente almacena el estado del servidor, encriptado por el servidor). En el caso de las ID de sesión, el servidor debe mantener registros de sesiones anteriores que podrían continuar en un momento determinado. Esto lleva a un trabajo adicional para el servidor. La sesión de sesión de sesión se puede resolver para resolver el caché del gran servidor. Con los cupones de sesión, el servidor utiliza una clave para cifrar la información de la sesión antes de almacenar al cliente. Entonces, la próxima vez que el cliente se conecta al servidor, descifra y reutiliza la información de la sesión. Esto significa que el servidor puede reanudar las sesiones sin mantener ninguna información y toda la carga adicional se realiza en el cliente. Reanudar la sesión utilizando boletos de sesión es una técnica beneficiosa para varias razones de ida y vuelta, menos cálculos y una ventana de congestión más pequeña, todo sin cargar el servidor.
Mejora del rendimiento de los HTTP, por supuesto, SSL/TLS y HTTPS ingresan algunos retrasos de luz que pueden afectar la velocidad de carga de su sitio. Sin embargo, hay algunas optimizaciones de rendimiento que puede implementar en su sitio después de instalar un certificado SSL para que sean seguras y rápidas. 1. HTTP/2 HTTP/2 es una revisión importante del protocolo HTTP e intenta resolver muchas de las deficiencias e inflexibilidad de HTTP/1.1. Sus beneficios y características incluyen: multiplexación y competencia: se pueden enviar más solicitudes en rápida sucesión en la misma conexión TCP, y las respuestas se pueden recibir ininterrumpidamente.
Compresión del barco: el tamaño del encabezado HTTP se reduce drásticamente.

Adicciones de flujo: el cliente puede indicar al servidor cuáles de los recursos son más importantes que los demás.
Push del servidor: el servidor puede enviar recursos que el cliente aún no ha solicitado, evitando los retrasos.
KeyCDN tiene una herramienta de prueba HTTP/2 gratuita, si desea verificar si su servidor o CDN acepta HTTP/2. 2. Compresión Brotli Brotli es un algoritmo de compresión sin pérdida de código abierto desarrollada por Google como una alternativa a GZIP, Zopfli y desinflada, lo que reduce el consumo de ancho de banda y ayuda a cargar contenido más rápido. Según un estudio de caso de Google, el formato alcanza tasas de compresión de 20-26% más altas que Zopfli, con un menor uso del procesador. Para usar Brotli, tanto el cliente como el servidor deben ser compatibles con Brotti y ejecutar a través de una conexión HTTPS para usarlo. Puede probar si su servidor o CDN aceptan Brotli usando la herramienta de prueba KeyCDN gratuita. 3. Los sitios de compresión de compresión HPACK que usan HTTP/2 pueden aprovechar al máximo la compresión de HPACK. Esta tecnología utiliza la codificación de Huffman para obtener una reducción promedio del 30% del tamaño del encabezado. Hay tres ventajas principales del uso de HPACK:
Es resistente a los ataques basados ​​en la compresión, como los delitos (información de relación de compresión que se hace fácil, su capacidad para codificar grandes sedes utilizando la codificación fija de Huffman y es la capacidad de codificar las cabezas utilizadas como un número completo de longitud variable, en lugar de reiniciar todo el encabezado cada vez. 4. OCSP Stapling OCSP es un método para determinar rápidamente si un SSL es válido o no. Permite que un servidor proporcione información sobre la validez de sus certificados, en lugar de ser obligados a solicitar la información del certificado proveedor. Esto garantiza la seguridad y la confidencialidad de los datos confidenciales y elimina la necesidad de que el cliente se comunique con la autoridad de certificación, reduciendo otra solicitud. Para activar la cápsula OCSP, consulte las instrucciones detalladas de Digicert. 5. Use un CDN aunque sea posible que no sea capaz de hacer los paquetes du Puede viajar físicamente más rápido, es posible hacer que viajen por una distancia más corta. El uso de un CDN puede reducir significativamente el tiempo de ida y vuelta y los costos totales de los acuerdos manuales TCP y TLS. Al permitir que el usuario concluya su conexión con un servidor de borde cercano, en lugar de cruzar países y océanos a su origen, el cliente se beneficia de la “terminación temprana” con un viaje de ida y vuelta más corto. El uso de la terminación anticipada es tan útil para el contenido estático y dinámico:
Si bien el contenido estático también se puede almacenar en caché y atender los servidores de borde, las solicitudes dinámicas pueden dirigirse mediante conexiones de los servidores de origen. Conclusión Sí, es cierto que SSL puede afectar el rendimiento de su sitio, pero sus esfuerzos son tan menores que el ahorro de Varios milisegundos no excederán el mayor nivel de seguridad ofrecido por SSL.Con HTTP/2, HTTPS se vuelve solo más rápido, por lo que cualquier impacto en el rendimiento que SSL agrega a las conexiones disminuye rápidamente.Te dejo con esto: prueba http vs https.Este sitio ofrece una comparación visual de los tiempos de carga para versiones HTTP no aseguradas y HTTP encriptados HTTP/S de la misma página.los resultados hablan por si mismos.