Nochmals:
Soll alles auf SSL umgeleitet werden?
oder nur bestimmte URLs?

[quote=macMeck,05.02.2006, 17:29]Das heißt ja wohl, dass der Request erstmal so ausgeführt wird und das Rewriting erst nach der Authorization statt findet. Zumindest wenn man es in der .htaccess macht. Richtig?[/quote]
So verstehe ich die Doku auch.
Apache verabeitet erst den Originalrequest und damit greift auch das .htaccess und dann gescheiht erst das redirect.

Wenn jemand ohne SSL sich in dein Skript eingeloggt hat, ist es doch sowieso zu spät und die Daten sind schon unverschlüsselt im Netzt transferiert worden! Da nützt der Redirect auch nichts mehr.

Wenn ich die Doku richtig verstehe, dann muessen deine Rewrite-Regeln in die Server-Konfig, nicht in eine .htaccess, denn wenn die .htaccess ausgewertet wird, ist es schon zu spaet.

Ja, es muss in die Serverkonfig.
Aber ohne einen Redirect geht es nicht, wenn jemand nur http:/// aufruft.

[quote=GwenDragon,05.02.2006, 17:36]Nochmals:
Soll alles auf SSL umgeleitet werden?
oder nur bestimmte URLs?[/quote]
Auf diesem virtuellen Server soll alles auf SSL umgeleitet werden... und das natürlich nach Möglichkeit vor der Eingabe der Benutzerdaten. Und da das ganze bei nem Provider gehostet ist, komm ich nicht an die Apache-Configs ran... :angry:

@macMeck
Oha.
Kannst du beim Support deines Providers nicht anfragen, ob er den Zugang über HTTP (Port 80), sprich die Standard-Konfiguration nicht einfach abschaltet und nur die mit SSL (Port 443) zuläßt?

In einer .htaccess Datei kann man keine Konditionalausdrücke benutzen, oder? So dass man sowas sagen könnte wie

Das würde das Problem ja auch lösen.

Nee, das gibt es nicht.

Für manches brauchst du eben deine vhosts-Konfiguration!

Hast du keinen dedicated/virtual Server?

Wie hier schon erwähnt wurde: wenn der Benutzer sensible Daten (Passwörter) unverschlüsselt verschickt, dann hat er schon verloren. Dabei ist es unerheblich, ob der Request überhaupt den Server erreicht (sprich: Port 80 geöffnet ist) oder ob ein Redirect gemacht wird. Die beste Lösung wäre: dem Benutzer eine Seite präsentieren, auf der hingewiesen wird, dass er eine unsichere Verbindung verwendet hat und dass sein Account deshalb gesperrt wird (wenn die Username-Passwort-Kombination korrekt war). Ansonsten ist die Verwendung von SSL sinnlos...