News In eigener Sache: ComputerBase nutzt jetzt durchgehend HTTPS und HTTP/2

[Steffen]

Wir haben die Gültigkeit des HSTS-Headers auf 180 Tage erhöht, sodass ComputerBase im SSL Server Test jetzt die Bestnote A+ erhält: https://www.ssllabs.com/ssltest/analyze.html?d=www.computerbase.de&s=87.230.75.2

 

[riloka]

kann man den preload Header setzen dazu und http://computerbase.de direkt auf https://www.computerbase.de umleiten? Dann könnte man hsts in den Browsern gleich eintragen.

 

[Steffen]

Die URL http://computerbase.de verweist bereits direkt auf https://www.computerbase.de, wieso meinst du das sei anders?

$ wget http://computerbase.de
--2016-07-26 09:10:15--  http://computerbase.de/
Resolving computerbase.de... 87.230.75.2, 2a01:488:2000:201::a
Connecting to computerbase.de|87.230.75.2|:80... connected.
HTTP request sent, awaiting response... 301 Moved Permanently
Location: https://www.computerbase.de/ [following]

Mit HSTS-Preloading warten wir noch etwas, lieber einen Schritt nach dem anderen.

 

[riloka]

ich hab im google preload Versuch das als Fehler bekommen

 

[Steffen]

Ich nehme an du meinst folgenden Test: https://hstspreload.appspot.com/?domain=computerbase.de

Demzufolge sollten wir http://computerbase.de erst auf https://computerbase.de und dann in einem zweiten Schritt auf https://www.computerbase.de weiterleiten (also anders herum als von dir wiedergegeben ). Ich werde dabei schauen.

 

[riloka]

Ich meinte den Test genau 😇

 

[Steffen]

Ist erledigt. Jetzt wird dort nur noch bemängelt, dass unser HSTS-Header noch keine "preload"-Direktive enthält (klar).

 

[Uranus]

Klasse Sache, vielen Dank für die Bemühungen in die Richtung neue Technologien einzusetzen.
Und auch die Auswahl der Werbebanner ist im Vergleich zu Früher angenehmer geworden.

Ich hatte eine ganze weile lang den AdBlocker auch auf Computerbase aktiv, jetzt aber seit einem guten halben Jahr abgeschalten und trotzdem noch ein ordentliches Surfgefühl.

Vielen Dank an dieser Stelle nochmal für die gute Arbeit (sowohl technisch als auch inhaltlich)!

 

[iophobia]

Super, dass ihr im deutschen Raum so eine Vorreiterrolle in Sachen Implementierung neuster Techniken innehabt. Merkt man ja auch fühlbar an den Ladezeiten.

Was ich mich gefragt habe, ist, ob ihr in nächster Zeit auch Server-Push Features implementieren wollt oder das vielleicht sogar schon macht. Kommt natürlich immer auf den Server an.

Kazuho (der Entwickler vom H2O Server) hat dazu ne schöne Präsentation parat. Würde man sich ja einige RTTs sparen.

Ansonsten weiter so.

PS: Ich verstehe nicht, warum andere Seiten den Umstieg zu neuen Technologien (PHP7/TLS1.3/HTTP2/Brotli etc) nicht schaffen. Sicher, es gibt Inkompatibilitäten (siehe eure Werbung), aber was man an Ressourcen auf Server-Seite spart, ist doch auf lange Sicht viel mehr wert. Und dass response time = revenue heißt, weiß man auch seit Anbeginn der Zeit.

 

[DeusoftheWired]

@iophobia: Hast du dir die Web-Push-Benachrichtigungen schon mal angeschaut, oder ging deine Frage in eine andere Richtung?

https://www.computerbase.de/push/

https://www.computerbase.de/2016-01/web-push-benachrichtigungen/

https://www.computerbase.de/forum/t...-benachrichtigungen-auf-computerbase.1554363/

 

[iophobia]

@DeusoftheWired: Hey, kleines Missverständnis deinerseits. Es geht mir nicht um Push-Benachrichtigungen, sondern um das "server push" Feature von HTTP/2 zur Verringerung der Seitenladezeiten

 

[Steffen]

Die von uns genutzte Webserver-Software nginx unterstützt zwar HTTP/2, aber (noch) nicht das erwähnte optionale HTTP/2-Feature "Server Push". Momentan nutzen wir daher noch den Hack Critical CSS, um ähnlich wie bei der Verwendung von "Server Push" die Performance des allerersten Seitenaufrufs zu optimieren.

 

[Gallo2000]

Bei dem neuen Sicherheitscheck von Mozilla ( observatory.mozilla.org ) kommt Computerbase im Vergleich zu vielen Anderen Seiten wohl sehr gut weg: "A-"

https://observatory.mozilla.org/analyze.html?host=computerbase.de

In den Kommentaren auf Golem.de gibt es auch eine kleine Übersicht anderer deutscher Internetseiten, die wohl im Schnitt alle mit der schlechtesten Note "F" abschneiden:

http://forum.golem.de/kommentare/se.../103230,4586539,4586539,read.html#msg-4586539

Mich hat es nur gewundert, dass es hier auf CB keine Nachricht dazu gab, weil hier das Thema Sicherheit der eigenen Seite ja auch eigentlich ganz wichtig zu sein scheint.

 

[LieberNetterFlo]

ich hab zum Spass mal ein paar meiner üblichen Seiten mit dem Mozilla Test durchgetestet ... nichtmal meine Bank hat einen besseren Score als Computerbase ... nur Dropbox schafft mit 95/100 mehr

 

[Der-Orden-Xar]

Mich hat es nur gewundert, dass es hier auf CB keine Nachricht dazu gab, weil hier das Thema Sicherheit der eigenen Seite ja auch eigentlich ganz wichtig zu sein scheint.

Naja... sowas sieht man hier auf computerbase auch eher weniger, hier liegt der Schwerpunkt wohl etwas anders.

 

[Hallo32]

Ich würde eher darauf tippen, dass es CB an Redakteuren fehlt um alle interessanten Themengebiete hinreichend zu bearbeiten.

 

[iophobia]

Cloudflare war wieder fleißig. Plant ihr eine eigene Implementierung von 0-RTT?

Bzw den Support von TCP Fast Open?

 

[Steffen]

Ich habe TCP Fast Open auf unseren Servern eben aktiviert, sodass beim Wiederaufbauen einer TCP-Verbindung jetzt theoretisch ein Roundtrip gespart werden kann. Der Browser-Support ist mit Chrome unter Android, Linux und Chrome OS sowie Microsoft Edge unter Windows 10 grundsätzlich gegeben.

Ein Test mit Curl unter Linux ("curl --tcp-fastopen www.computerbase.de") zeigt in Wireshark auch wie erwartet, dass bei aktiviertem TCP Fast Open das SYN-Paket den HTTP-Request enthält (bei verschlüsselten Verbindungen nutzt Curl aufgrund eines Bugs derzeit kein TCP Fast Open: https://github.com/curl/curl/issues/907).

Leider ist in der Praxis der TCP-Fast-Open-Support in Chrome leider kaum vorhanden: Unter Windows und macOS sowieso noch nicht (https://bugs.chromium.org/p/chromium/issues/detail?id=635080 und https://bugs.chromium.org/p/chromium/issues/detail?id=543653) und unter Android, Linux und Chrome OS aktuell nur dann, wenn die Website ausschließlich IPv4 nutzt (https://bugs.chromium.org/p/chromium/issues/detail?id=644831). Auf ComputerBase wird Chrome also aktuell leider nie TCP Fast Open nutzen, da wir sowohl per IPv4 als auch per IPv6 erreichbar sind.

Mit Microsoft Edge unter Windows 10 habe ich keine Tests durchgeführt (habe ich nicht installiert und wäre daher zu viel Aufwand).

Insgesamt muss man somit leider sagen, dass TCP Fast Open für ComputerBase zum jetzigen Zeitpunkt praktisch irrelevant ist. Vielleicht funktioniert es in Microsoft Edge unter Windows 10, aber Edge nutzen auf ComputerBase gerade mal 3–4 Prozent der Besucher.

Aber nun gut, vorbehaltlich eventueller Probleme bleibt es aktiviert und wenn der Browser-Support irgendwann besser aussehen sollte profitieren wir automatisch.

Das von dir angesprochene 0-RTT erfordert darüber hinaus TLS 1.3, das wir erst unterstützen können sobald es TLS-1.3-Support in OpenSSL gibt.

Seit Anfang Januar steht ComputerBase übrigens auf der HSTS-Preload-Liste (https://hstspreload.org/), d.h. in die neuesten Versionen von Chrome und Firefox ist fest einprogrammiert, dass ComputerBase ausschließlich HTTPS nutzt und dass ein Downgrade auf keinen Fall akzeptabel ist. Deshalb bekommen wir nicht mehr nur im SSL Server Test die Bestnote A+ (ssllabs.com/ssltest/analyze.html?d=www.computerbase.de), sondern erhalten auch als eine von nur sechs Websites weltweit die Bestnote A+ von der Initiative "Secure The News" (https://securethe.news/sites/).

 

[iophobia]

Chapeau. Das war schnell. Weiter so.

 

[Hallo32]

Danke