¿Podemos eliminar XP de la compatibilidad con HTTPS? Si no, cuando [cerrado]

Depende completamente de sitios específicos. Sospecho que muchos sitios con audiencias conocidas ya han comenzado a eliminar el soporte para soluciones específicas de XP: los sitios dedicados al software OSX, por ejemplo, probablemente obtienen un XP insignificante con el tráfico. Es posible que hayan decidido que preferirían tener una mejor seguridad que preocuparse por los pocos usuarios que usan XP.

Por otro lado, los sitios como Facebook probablemente aún ven muchos usuarios de XP, especialmente de países donde la actualización de computadoras es prohibitivamente costosa. Eliminar todo el soporte perdería instantáneamente a esos usuarios, lo que Facebook podría no considerar valioso.

Sin embargo, esencialmente se trata de una decisión de negocios, en lugar de una decisión de seguridad. Si su empresa considera que vale la pena apoyar a estos usuarios, seguirá haciéndolo. Si no, puede dejar de lado el soporte.

Para su propio sitio, es completamente seguro eliminar las características de compatibilidad de XP. Podría perder algunos usuarios, pero no hay nada que lo detenga.

La única forma de decidir si está dispuesto a perder a los usuarios con XP en su sitio, es averiguar cuántos de ellos hay.

Comienza a recopilar estadísticas sobre eso. Entonces tienes algo que decidir.

Si decide aumentar la seguridad y eliminar la compatibilidad con XP, en función de esos números, también puede mostrar grandes pancartas de información con guías sobre cómo instalar otro navegador para las personas que todavía usan XP en su sitio antes de cortarlas.

Como han dicho otros, comience por medir las estadísticas, cuanto más relevantes mejor. Por relevante me refiero a "representante para sus usuarios", por lo que consideraría el análisis basado en js un poco más relevante que las estadísticas de registro del servidor web si su sitio está destinado a ser utilizado por humanos y al revés si tiene algunas API web que fomente gente para usar.

Luego tome esas estadísticas y tenga una discusión con sus superiores si los usuarios afectados valen la pena retener las correcciones de seguridad. Si tienes competidores, mira lo que hicieron. Si al final consideran que estos usuarios son demasiado relevantes para eliminarlos, intente impulsar una campaña para que esos usuarios se actualicen (detectando sus parámetros de TLS negociados por el usuario o negociados y mostrando alguna advertencia).

Tenga en cuenta que es básicamente imposible detectar el agente de usuario antes del protocolo de enlace TLS (ya que si su navegador no puede negociar una sesión TLS mostrará un error del lado del cliente, no alcanzarán su aplicación), por lo tanto, todas estas medidas deben realizarse antes de implementar los cambios en su oyente TLS.