Сделать SSL дефолтным протоколом, разрешить отключать только через полную форму логина

[DJ-ZX]

согласен с проником и снупрой и другими сделать дефолтом, отключать запретить (либо разрешить временно но только для юзеров с репутацией хотя бы 100+ и 1000+ постов, но и то не факт) ссылки на нессл картинки и чо угодно ещё - пофиг, мёртвые картинки - наименьшая проблема

[DJ-ZX]

только в случае если мы НЕ оставим возможности несекьюрного логина кроме того, зашифруются ли старые мессаги, которые в базе до включения созданы? раньше они отлично хранились незашифровано пусть будет как баг для проверки после введения ССЛ, не закрывай

[rekcuFniarB]

Просто перейти на SSL без опций. Собственно именно такие намерения и были два года назад, когда реализовывалось.

[DJ-ZX]

ну давай, в чём вопрос?

[rekcuFniarB]

Займусь на днях.

[rekcuFniarB]

только в случае если мы НЕ оставим возможности несекьюрного логина кроме того, зашифруются ли старые мессаги, которые в базе до включения созданы?

SSL шифрует только канал между сервером и пользователем, защищая от MITM атак. Информация на сервере естественно лежит в нешифрованном виде (кроме паролей, они всегда хранились в виде хешей) и SSL к этому отношения не имеет.

[DJ-ZX]

Тогда вторую ишшую переоткрыть, снизить приоритет, убрать вопрос про пароли, но оставить в виде "шифровать личные сообщения"

[rekcuFniarB]

Не нужно их шифровать, при передаче на сервер они и так идут зашифрованными. А если тебе нужен аналог секретных чатов в ТГ то может лучше ТГ использовать для сверхсекретной переписки? А то потом ФСБ докапывается до Горди отдай ключи которых нет ;]

[rekcuFniarB]

при передаче на сервер они и так идут зашифрованными

При использовании SSL.

[rekcuFniarB]

Done.