静的に配信されるWebアプリケーション用のSSL

Question

私はサーバーレスWebアプリケーションを構築しています。私のHTML、CSS、およびJavaScriptは私のドメインexample.comが指し示す公共の保管場所にあります。

私のユーザーが自分のブラウザを使用して自分のドメインに移動

は、彼らのブラウザは、その場所からこれらのファイルを GET、その後 example.comと なし、さらに通信があります。 JavaScriptアプリケーションはブラウザで実行され、HTTPS（私の場合はAWSですが、Azure、Kinvey、BlueMixなど）などの別のバックエンドと通信します。

したがって私のユーザーのWebブラウザ間の通信とxyz.comつまり、私はhttps://example.comを提供する必要はありません、と私そうすることはセキュリティ上の利点を提供しないでしょうを暗号化する理由はないということのようです。

正しいですか？ （私はHTTPSを望む理由を認識してい

• https://www.netlify.com/features#security
• https://surge.sh/help/using-https-by-default

：

私が尋ねる理由は、私はSSLのサポートを提供し、少なくとも2つの静的ホスティングサービスを見つけたということです上の2番目のリンクで、またhttps://levels.io/default-to-https/ ...でも説明していますが、これは私の状況には当てはまりません。

私は、これはより多くのアプリケーションがこの方法（http://serverlessconf.io/の人々は確かにそう思う）、そして限り、実際のバックエンドへのチャネルが確保されるように、チャンネルを確保する理由はないに建設されるため、重大な問題であると考えています本質的には読み取り専用のハードディスクです。

Answer 1

example.comとの通信を保護しないと、中間の攻撃者（悪質な無線LANホットスポットなど）のユーザーが、ユーザーが読み込んだhtmlやJavaScriptを変更する可能性があります。

これを使用する方法の1つは、JavaScriptを変更して、その後のAPIリクエストを攻撃者のコントローラサーバーに送信し、転送された資格情報や情報を侵害することです。