סיסמה לא מאובטחת
פרוטוקול HTTPS בנוי בצורה המאפשרת הגנה על המידע של המשתמש מפני ציטוט על ידי תוכנות ריגול(חשיפת פרטי משתמש) וזאת על גבי רשת האינטרנט. אתרים שמנהלים פרטי משתמש, רצוי שישתמשו בפרוטוקול HTTPS על מנת להגן על המשתמשים שלהם מפני האקרים. ללא שימוש בפרוטוקול, הדבר מאפשר בצורה טרוייאלית לגנוב מידע(דוגמת פרטי הכניסה לאתר). זה הודגם בצורה מצויינת על ידי Firesheep
שימוש בדף כניסה לא מאובטח מסוכן מאוד בגלל אפשרויות הפריצה שניתן להשתמש בהם. האקרים גונבים פרטי משתמש וכניסה לאתרים על ידי גישוש ישיר על הרשת, ומשנים הגדרות של ההתקפה.
פאנל האבטחה של פיירפוקס מזהיר מפתחים אם הם הדף שלהם מבקש סיסמה על גבי תשתית לא מאובטחת. ישנם מספר מקרים בהם מפתחים יכולים ליפול בהגנה על טופס הרישום, ועל המידע של לקוחותיהם.
1. Serving the login form over HTTP. Even if the form action is an HTTPS URL, the user's login form is not protected because an attacker can modify the page received by the user (for example, attackers can insert a keylogging script that exfiltrates their password as they type it, or they can change the form destination to post the sensitive data to a server that they control). Here is a screenshot presenting the problem with the relevant warning messages displayed in the security tab of the web console:
2. Using an HTTP URL in the form action. In this case, any data the user enters is sent through the network in cleartext. The user's password is clearly visible to anyone sniffing the network from the time the password leaves the user's computer to the time it reaches your website's servers. Here is another screenshot presenting the html source of the form and the relevant warning message:
3. Serving the login form in an HTTP iframe (or an HTTPS frame that is embedded in an HTTP frame). Even if the topmost page is HTTPS, including the password field in an HTTP iframe is equivalent to including it in an HTTP page. Attackers can modify the page and steal the user's credentials.
Sometimes websites require username and passwords, but don't actually store data that is very sensitive. For example, a news site may save which news articles a user wants to go back and read, but not save any other data about a user. Web developers of the news site may be less motivated to secure their site and their user credentials. Unfortunately, password reuse is a big problem [link?]. Users use the same password across multiple sites (news websites, social networks, email providers, banks). Hence, even if access to the username and password to your site doesn't seem like a huge risk to you, it is a great risk to users who have used the same username and password to login to their bank accounts. Attackers are getting smarter; they steal username/password pairs from one site, and then try reusing them on more lucrative sites.
