¿Por qué las solicitudes HTTPS no se pueden almacenar en caché pero HTTP sí?

Maravillosa pregunta!

Las solicitudes HTTPS se pueden almacenar en caché, pero solo por navegadores, no por servidores proxy, y algunos navegadores pueden negarse a escribir realmente la memoria caché en el disco a menos que se les indique explícitamente (mediante encabezados).

La razón por la que no quieren escribir los archivos en el disco es algo comprensible: no desea que sus extractos bancarios y otros datos privados se encuentren en archivos de texto sin formato en la carpeta de caché del navegador.

La razón por la que los servidores proxy no pueden almacenar en caché las solicitudes HTTPS es porque HTTPS fue diseñado para evitar eso: técnicamente, no hay diferencia entre el almacenamiento en caché de proxy y un ataque de repetición, y HTTPS fue diseñado para evitar ataques de suplantación / repetición (por ejemplo, rellenará algunos al azar datos en cada mensaje, que solo es válido una vez; de modo que, por ejemplo, no puede capturar algunos paquetes de algún administrador que apaga un servidor y luego simplemente reinyecta los mismos paquetes para apagarlo usted mismo, sin siquiera molestarse en romper el crypto: el nonces ahora no será válido).

Las solicitudes HTTPS SON almacenables en caché

El almacenamiento en caché de solicitudes HTTPS se puede controlar mediante encabezados de respuesta al igual que HTTP.

Para muchos es una sorpresa que, de manera predeterminada, todas las versiones de Internet Explorer almacenen en caché el contenido HTTPS siempre que los encabezados de caché lo permitan. Si un recurso se envía con una directiva Cache-Control: max-age = 600, por ejemplo, IE almacenará en caché el recurso durante diez minutos. El uso de HTTPS solo no tiene ningún impacto sobre si IE decide o no almacenar en caché un recurso. (Los navegadores que no son IE pueden tener un comportamiento predeterminado diferente para el almacenamiento en caché del contenido HTTPS, según la versión que esté utilizando, por lo que no hablaré de ellos).

De: Los 7 mitos principales sobre HTTPS

Más información: ¿Los navegadores web almacenarán en caché el contenido a través de https?

De forma predeterminada, los navegadores web deben almacenar en caché el contenido a través de HTTPS igual que a través de HTTP, a menos que se indique explícitamente lo contrario a través de los Encabezados HTTP recibidos.

…

Esto se puede lograr estableciendo el valor de max-age en el encabezado Cache-Control en un valor distinto de cero, p. Ej.

Control de caché: max-age = 3600

le dirá al navegador que esta página se puede almacenar en caché durante 3600 segundos (1 hora)

No solían ser, pero ahora lo son.

En Firefox sobre: ​​config , hay un valor browser.cache.disk_cache_ssl . Hace algunos años, el valor predeterminado era “falso”, pero ahora es “verdadero”. Lo puedes cambiar si quieres. Cambié mi estado predeterminado “verdadero” hace un tiempo en mi escritorio: es tolerablemente seguro en una oficina privada, y dudo que alguien pueda molestarse en hackearlo para cavar en la memoria caché de mi navegador.

Supongo que la idea detrás de hacer que las solicitudes HTTPS no se puedan almacenar en caché fue que, en 2000, las páginas más seguras tenían información confidencial, por ejemplo, extractos bancarios, la mayoría de las PC eran inseguras, y el contenido de la memoria caché no debería dejarse allí donde cualquiera pudiera verlos. Ahora (2017), la mayoría de los sitios web son seguros, incluso si no tienen información confidencial, la mayoría de las PC son más seguras de lo que eran, y hacer que las páginas no se puedan almacenar en caché aumenta el tiempo de descarga para todo. La conveniencia supera el riesgo agregado.