Está bien, esta pregunta puede parecer una obviedad para un profesional, pero tenga en cuenta que no soy un desarrollador web profesional, por lo que mi conocimiento en este campo es muy limitado.
Con el tiempo he estado reflexionando sobre cómo decidir si debo hacer que mi sitio web sea accesible con HTTPS y HTTP (las páginas menos importantes que no necesitan cifrado) o si solo debo usar HTTPS para todas las páginas de mi sitio web.
La razón por la que hice esto es porque me temo que un Hombre en el ataque central podría, en teoría, inyectar un código JavaScript dentro de la página web cuando uno de los usuarios intenta navegar por el sitio web y provocar un comportamiento no deseado (como robar la autenticación cookie u otras cosas).
Entonces, lo que diría es que mis preguntas básicamente se reducen a:
1) ¿Es esto un error? ¿Realmente necesito HTTPS en todas partes. Es más computación. Y no, no vivo por ... ¿por qué preocuparme por el cómputo en la época actual? Con el hardware actual, debería poder contar el número de átomos en un sándwich en menos de un día: tipo de mentalidad. Creo que es una mala mentalidad para un programador, ya que invita a escribir algoritmos ineficientes descuidados. Si hay una mejor manera de hacer las cosas que permita cálculos más bajos, me gustaría escucharlo.
2) ¿Es posible de alguna manera que una persona inyecte un código no deseado en mis páginas web cuando está en tránsito a un usuario final, incluso si uso los certificados TLS? Sé que parece imposible pero, como dije, no soy un experto, por lo que me gustaría escuchar sus opiniones.
3) Finalmente, ¿es HTTPS una buena manera de prevenir los ataques de falsificación de solicitudes entre sitios? Escuché en algún lugar que lo es, aunque no pude entender la lógica detrás de él. Lo mejor que puede ayudar, por lo que veo, es permitir al usuario final darse cuenta de que la página web falsa no está protegida y ayudarlo a descubrir que algo es sospechoso. ¿Ayuda de alguna otra manera que no sea eso? ¿O necesito implementar algunos mecanismos extra a prueba de fallas para evitar eso?
¡Gracias por tu tiempo!
También, en respuesta a la reacción por duplicado, sigo creyendo que esta pregunta también es algo original en cuanto al hecho de que, además, pregunté acerca de los requisitos computacionales para una solución y también pregunté si se puede usar XSS incluso con TLS utilizado