セキュリティ：Rails + Nginx HTTPS、httpsでproxy_passする必要がありますか？

Question

私は成功し、次のnginxの設定ファイルをhttpsに私のRailsアプリを動かす：

upstream example_staging { 
    server    localhost:3000; 
} 

server { 

    listen 443 ssl; 
    server_name   example.com; 

    location/{ 
    proxy_pass   http://example_staging; 
    proxy_read_timeout 90; 
    } 
    ssl_certificate /etc/letsencrypt/live/staging.example.com/fullchain.pem; 
    ssl_certificate_key /etc/letsencrypt/live/staging.example.com/privkey.pem; 
    # other configs ... 
} 

を良いことに、それはまだHTTPクエリを受信して​​いるので、私は、Railsの中に何も変更する必要はありませんでしたということです。

しかし、セキュリティ違反があるのではないかと思っています...クッキー/セッション暗号化のように危険にさらされる可能性はありますか？

私のような何かを行う必要があります。

location/{ 
    proxy_pass   https://example_staging; # with HTTPS 
    proxy_read_timeout 90; 
} 

をし、Railsは、証明書について知っているか、私はそのように元気ですしましょうか？ （シンプルであり、2回の解読の必要がないために速くなければなりません）

Answer 1

サーバが完全にあなたのコントロール下にあり、あなたのアップストリームトラフィックが決してサーバを離れないならば追加のセキュリティとパフォーマンスのためにUnixソケットに切り替える）、暗号化する必要はありません。