Ahora que CloudFlare ofrece SSL gratuito y potencialmente inseguro para todos los usuarios, ¿sería útil un nuevo encabezado HTTP?

Esto es parte de por qué verificas de quién es el certificado SSL. Si no es el sitio al que está tratando de acceder, salga del infierno. Si cloudssl está utilizando un certificado raíz de forma insegura, como la generación de certificados para cada sitio a pedido, la gente simplemente puede rechazar la autorización de ese certificado raíz. Problema resuelto.

Un nuevo encabezado http para esto no es útil, es excesivo y aún estaría abierto al abuso, ya que nada garantiza que alguien lo configurará correctamente. El mismo nivel de detalle podría incluirse fácilmente en el propio certificado sin necesidad de nuevos encabezados.

Su encabezado solo sería marginalmente útil en esta situación y no sería útil en la mayoría de las demás situaciones. Solo por algunos ejemplos:

Si Cloudflare cargó el sitio real a través de https, pero estaba en un certificado no verificado y autofirmado, ¿seguiría obteniendo el encabezado de extremo a extremo?

Si era un certificado autofirmado, pero la huella digital del certificado fue verificada manualmente por cloudflare como algo que pertenece al sitio, ¿se obtiene el encabezado de extremo a extremo?

no relacionado con cloudflare, ¿qué pasa con los balanceadores de carga de terminación SSL? Técnicamente, debería ser una configuración de encabezado de "cliente a proxy", pero, francamente, ¿por qué a usted, como usuario, le importaría que su SSL terminara en mi equilibrador de carga al que mi servidor está conectado directamente? Tal vez si mi equilibrador de carga de terminación SSL reenvía el resto de la conexión a través de una red insegura, pero luego tiene que definir 'red segura'. ¿Qué sucede si nginx reenvía la conexión a través de http a través de un vpn?

Hay demasiadas formas diferentes de configurar una red, y ninguna de ellas es algo por lo que los clientes tienen muchos motivos para preocuparse.

Creo que lo que está haciendo Cloudflare está bien aquí. Sí, debería hacer que ellos también usen una conexión segura, pero incluso cuando no lo hacen, no es diferente a cualquier otro sitio SSL.

Si mira en un foro o incluso en stackoverflow, cuando lo carga sobre SSL, se lo envía a través de un enlace cifrado, pero por lo que sabe, el contenido se transfirió mediante una conexión no cifrada a una base de datos que contiene todo el contenido. , cuyo contenido podría haber sido enviado a través de solicitudes http.