Tiene algunas buenas preguntas y algunos conceptos erróneos. Intentemos desenredarlos.
También tengo una idea acerca de otros beneficios (por ejemplo, los beneficios de velocidad de HTTP / 2).
Otro importante: la optimización del motor de búsqueda, ya que obtienes GooglePoints por tener TLS. (Lo que alimenta tu punto de que los webmasters necesitan incentivos externos ...)
Supongo que porque también sabría que el cliente con el que realizo las transacciones está certificado y la información que les envio está encriptada. ... ¿Pero no puede un cliente [sic] acceder a mi sitio web con certificados autofirmados?
Sí y no, y sí, ... y no. Vamos a desenredar esto.
Autenticación de cliente TLS (que requiere que los clientes presenten certificados) es algo que normalmente se ve en servidores VPN, puntos de acceso WiFi WPA2 para empresas e intranets corporativos. Todos estos son sistemas cerrados donde el administrador del sistema tiene control total sobre la emisión de certificados a los usuarios, y lo utilizan para controlar qué usuarios tienen acceso a qué recursos. Esto no tiene sentido en una configuración de sitio web público, y definitivamente es una configuración no estándar para un servidor web HTTPS.
Dicho esto, lo que ganas es esto:
Encrypted TLS session
| Client loads login page
| Client sends username / password
| Client does "logged in things"
Por lo tanto, obtienes una mayor confianza en que el usuario es quien dice ser porque el nombre de usuario / contraseña ya no se envía de forma clara, por lo tanto ya no es posible que un hombre en el medio intercepte / modifique / robe .
Después de eso, cualquiera de los datos que el cliente envía al servidor, o obtiene del servidor, se cifra de extremo a extremo al cliente. Por lo general, tienes razón: esto protege al cliente más que al servidor, pero evita que el intermediario pueda inyectar material malicioso en los archivos que el usuario carga, inyectando comandos maliciosos para que se ejecuten como si vinieran de ese usuario. .
¿Pero no puede un cliente actuar éticamente y acceder a mi sitio web con certificados autofirmados, etc., que afirman ser quienes deseen?
Un poco, sí. Para un sitio web público, cualquiera puede abrir una conexión TLS. Si desea que los usuarios se autentiquen, necesita tener un mecanismo de inicio de sesión en la parte superior, TLS no proporciona generalmente esto para usted (a menos que esté utilizando el mecanismo de certificado de cliente mencionado anteriormente).
Pero algo que me preguntaba recientemente era si el sitio web se beneficia de manera similar con esta transacción.
Básicamente, los beneficios para el servidor son que cualquier dato enviado al usuario solo será visto por el usuario deseado. Si, por ejemplo, les está enviando copias de sus estados financieros, entonces sus abogados estarán muy contentos de escuchar esto. También significa que todos los datos recibidos del usuario provienen de ese usuario y no de un atacante que pretende ser ellos.
Si sus usuarios legítimos están actuando maliciosamente, bueno, ese es un problema diferente, después de todo, eligió para darles acceso al sistema. Lo que hace TLS (+ su propio marco de inicio de sesión) es asegurar que solo los usuarios legítimos tengan acceso. Lo que hacen con ese acceso no es el problema de TLS.