Possiamo utilizzare più certificati SSL per singola istanza con più accessi utente [chiuso]

In primo luogo, la tua domanda non è chiara.

Vuoi configurare più certificati SSL per lo stesso dominio? Questo è privo di significato. Ma potresti acquistare certificati multipli per lo stesso dominio da provider come GoDaddy o NameCheap.

Supponiamo, se il tuo dominio è mail-archive.example.com . Potresti essere in grado di garantire l'accesso tramite entrambi, HTTP e HTTPS. I client sarebbero in grado di accedere al sito in entrambi i modi, https://mail-archive.example.com & http://mail-archive.example.com con le rispettive credenziali.

Su Nginx, la tua configurazione dovrebbe essere qualcosa del tipo:

    server {

            listen 80;
            listen [::]:80;

            server_name mail-archive.example.com;
            root /var/www/html/mail-archive/public;
            index index.php index.html index.htm;

}

    server {

        listen 443 http2;
        listen [::]:443 http2;

        server_name mail-archive.example.com;

        ssl on;
        ssl_certificate    /etc/ssl/mail-archive.example.pem; (or bundle.crt)
        ssl_certificate_key    /etc/ssl/mail-archive.example.key;

        root /var/www/html/mail-archive/public;
        index index.php index.html index.htm;

    }

Passa il dominio HTTPS per i clienti che vogliono accedere al sito tramite una connessione protetta e un dominio HTTP per coloro che non vogliono.

Ricorda che le versioni più recenti di Google Chrome generano un avviso se i dati vengono inviati tramite una connessione non protetta.

In primo luogo, solo costringere tutti i tuoi clienti a utilizzare HTTPS potrebbe essere la soluzione migliore. I backup delle e-mail sono sensibili, quindi inviarli su una connessione non crittografata non è necessariamente auspicabile, anche se sono crittografati e soprattutto se non lo sono. Anche se fornire un'opzione per gli amministratori da scegliere è bello da parte tua, potrebbe ridurre la sicurezza anche per gli amministratori che hanno scelto di utilizzare HTTPS se non sono stati eseguiti con attenzione.

In secondo luogo, mentre si può semplicemente consentire sia HTTP che HTTPS come descritto da Praneeth Karnena, ciò impedirebbe l'utilizzo di importanti funzionalità di sicurezza come l'HSTS. Userò personalmente sottodomini se dovessi. Quindi avrei secure.example.com e insecure.example.com . Pertanto gli amministratori che non vogliono utilizzare HTTPS non possono diminuire la sicurezza di quelli che lo fanno. Dovresti modificare leggermente il modo in cui l'app, in modo da riconoscere quale sottodominio è stato utilizzato e includere o non includere le intestazioni HSTS a seconda di ciò. Potresti anche rifiutarti di accedere agli amministratori che hanno optato per la versione sicura della versione non protetta del sito.