http和https在性能上有什么主要的区别吗?我似乎记得读到过HTTPS的速度是HTTP的五分之一。这对当前的web服务器/浏览器有效吗?如果有,是否有相关白皮书支持?
当前回答
HTTPS有加密/解密的开销,所以它总是会稍微慢一点。SSL终止是非常消耗CPU的。如果您有卸载SSL的设备,则延迟的差异可能几乎不明显,这取决于服务器所处的负载。
其他回答
有一种方法可以衡量这一点。来自apache的jmeter工具将测量吞吐量。如果您在受控环境中使用jmeter对您的服务进行了大量采样,无论是否使用SSL,都应该得到相对成本的准确比较。我对你的结果很感兴趣。
TLS快吗?是的。
看:https://www.youtube.com/watch?v=0EB7zh_7UE4 阅读:https://istlsfastyet.com/
有许多项目旨在模糊界限,使HTTPS一样快。比如SPDY和mod-spdy。
HTTPS确实会影响页面速度…
上面的引用揭示了许多人在网站安全和速度方面的愚蠢。HTTPS / SSL服务器握手会在进行互联网连接时造成初始停顿。在访问者的浏览器屏幕上开始呈现任何内容之前会有一个缓慢的延迟。这个延迟是用Time-to-First-Byte信息来衡量的。
HTTPS握手开销出现在时间到第一字节信息(TTFB)中。常见的TTFB范围从低于100毫秒(最好的情况)到超过1.5秒(最坏的情况)。但是,当然,使用HTTPS时,情况要差500毫秒。
无线3G连接的往返时间可以达到500毫秒甚至更多。额外的行程会使延迟加倍,达到1秒或更长时间。这对手机性能有很大的负面影响。非常坏的消息。
我的建议是,如果你不交换敏感数据,那么你根本不需要SSL,但如果你确实喜欢电子商务网站,那么你可以在某些交换敏感数据的页面上启用HTTPS,比如登录和结账。
来源:Pagepipe
要真正理解HTTPS如何增加延迟,您必须了解HTTPS连接是如何建立的。这是一个很好的图表。关键在于,客户端不是在2个“腿”(一个往返,你发送一个请求,服务器发送一个响应)后才获得数据,而是至少要到4个“腿”(2个往返)后才能获得数据。因此,如果一个数据包在客户端和服务器之间移动需要100毫秒,那么您的第一个HTTPS请求至少需要500毫秒。
当然,这可以通过重新使用HTTPS连接来缓解(浏览器应该这样做),但它确实解释了加载HTTPS网站时的部分初始停滞。
2014年12月更新
您可以使用AnthumChris的HTTP vs HTTPS测试网站在自己的浏览器中轻松测试HTTP和HTTPS性能之间的差异:“此页面测量其在不安全的HTTP和加密的HTTPS连接上的加载时间。这两个页面都加载了360张独特的非缓存图像(总计2.04 MB)。”
结果可能会让你大吃一惊。
拥有最新的HTTPS性能知识是很重要的,因为让我们加密证书权威机构将在2015年夏天开始发布免费、自动化和开放的SSL证书,这要感谢Mozilla、Akamai、Cisco、电子前沿基金会和IdenTrust。
2015年6月更新
Let 's Encrypt更新-到2015年9月:
Let’s Encrypt Launch Schedule(2015年6月16日) 让我们加密根证书和中间证书(2015年6月4日) Let's Encrypt订阅协议草案(2015年5月21日)
更多推特信息:@letsencrypt
有关HTTPS和SSL/TLS性能的更多信息,请参阅:
TLS快吗? 高性能浏览器网络,第4章:传输层安全 超频SSL SSL处理的解剖和性能
有关使用HTTPS的重要性的更多信息,请参阅:
为什么什么都用HTTPS ?(仅https标准) Let 's Encrypt(互联网安全研究组) HTTPS无处不在(电子前沿基金会)
总而言之,让我引用Ilya Grigorik的话:“TLS只有一个性能问题:它的应用不够广泛。其他一切都可以优化。”
感谢Chris (HTTP vs HTTPS测试基准的作者)在下面给出的评论。
推荐文章
- 什么是HTTP“主机”报头?
- 加快R中的循环操作
- INT和VARCHAR主键之间有真正的性能差异吗?
- 哪个HTTP状态代码表示“尚未准备好,稍后再试”?
- c++标准是否要求iostreams的性能很差,或者我只是在处理一个糟糕的实现?
- 如何找出如果你使用HTTPS没有$_SERVER['HTTPS']
- 大概的成本访问各种缓存和主存储器?
- 模拟慢速互联网连接
- 如何检查表上持有哪些锁
- 检查字符串是否包含字符串列表中的元素
- 最好的方法在asp.net强制https为整个网站?
- Scala vs Python的Spark性能
- 现代c++能让你免费获得性能吗?
- 对于PostgreSQL表来说,多大才算太大?
- 如何阻止恶意代码欺骗“Origin”报头来利用CORS?