O redirecionamento do Apache é seguro o suficiente e pode ser confiável para manter todos sempre fora?

Question

No meu servidor de desenvolvimento, o login é feito somente com um certificado (HTTPS em 443), enquanto o HTTP em 80 está redirecionando para HTTPS. Sem o redirecionamento, o ACESSO NÃO É RESTRITO e todos podem ir a qualquer lugar, porque não posso fazer "require" no HTTP e não no HTTPS porque "require" funciona apenas em LOCATION / FILE e não no VHOST.

O redirecionamento pode ser confiável para sempre negar o acesso ao HTTP? É seguro o suficiente?

Configurações relevantes:

Na localização / var / www / html /:

Require All granted
Options Indexes FollowSymLinks

No vhost [servidor ip]: 80

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{SERVER_NAME}/$1 [R,L]

No vhost [servidor ip]: 433

SSLVerifyClient require

    

Answer 1

Sim. Se todas as solicitações forem redirecionadas, não resta mais nada. No entanto, você está complicando demais as coisas com seu RewriteCond %{HTTPS} off . O HTTP VirtualHost só poderia ter um único mod_alias Redirect simples para tudo. Quando nem sequer tem DocumentRoot , torna-se mais fácil perceber que não vai servir nenhum conteúdo.

<VirtualHost *:80>
    ServerName example.com
    ServerAlias www.example.com
    Redirect permanent / https://example.com/
</VirtualHost>