Possiamo eliminare XP dal supporto HTTPS? Se no, quando? [chiuso]

Dipende interamente da siti specifici. Sospetto che molti siti con un pubblico conosciuto abbiano già iniziato a ridurre il supporto per le correzioni specifiche di XP: i siti dedicati al software OSX, ad esempio, probabilmente ottengono XP trascurabili utilizzando il traffico. Potrebbero aver deciso di preferire una sicurezza migliore piuttosto che preoccuparsi dei pochi utenti che usano XP.

D'altro canto, siti come Facebook probabilmente vedono ancora un sacco di utenti XP, specialmente da paesi in cui l'aggiornamento dei computer è proibitivo. Eliminare tutto il supporto perderebbe istantaneamente quegli utenti, che Facebook potrebbe non considerare utile.

Si tratta essenzialmente di una decisione aziendale, piuttosto che di una decisione di sicurezza. Se la tua azienda ritiene che valga la pena supportare questi utenti, continuerà a farlo. In caso contrario, potrebbe abbandonare il supporto.

Per il tuo sito, è completamente sicuro eliminare funzionalità di compatibilità XP. Potresti perdere alcuni utenti, ma non c'è nulla che possa fermarti.

L'unico modo per decidere se sei disposto a perdere gli utenti con XP sul tuo sito, è scoprire quanti di questi ci sono.

Inizia a raccogliere statistiche su questo. Allora hai qualcosa su cui decidere.

Se decidi di aumentare la sicurezza e di abbandonare il supporto XP, basandoti su quei numeri, puoi anche mostrare grandi banner informativi con guide su come installare un altro browser sulle persone che ancora usano XP sul tuo sito prima di interromperli.

Come detto in precedenza, inizia misurando le statistiche, la più rilevante e meglio è. Per pertinente intendo "rappresentante per i tuoi utenti", quindi considererei l'analisi basata su js un po 'più rilevante delle statistiche di log del server web se il tuo sito è destinato ad essere utilizzato dagli umani e viceversa se hai alcune API web che incoraggi persone da usare.

Quindi prendi quelle statistiche e discuti con i tuoi superiori se gli utenti interessati valgono la pena di trattenere le correzioni di sicurezza. Se hai concorrenti, guarda cosa hanno fatto. Se alla fine considerano questi utenti troppo importanti per il drop, prova a spingere per una campagna per farli aggiornare (rilevando il loro user-agent o i parametri TLS negoziati e mostrando un avviso).

Si noti che è praticamente impossibile rilevare l'user-agent prima dell'handshake TLS (poiché se il proprio browser non è in grado di negoziare una sessione TLS mostrerà un errore lato client, non raggiungerà la propria applicazione), quindi tutte queste misure dovrebbero essere fatte prima di implementare le modifiche al listener TLS.