La meilleure façon asp.net pour forcer le https pour un site entier?

Veuillez utiliser HSTS

de http://www.hanselman.com/blog/HowToEnableHTTPStrictTransportSecurityHSTSInIIS7.aspx

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
    <system.webServer>
        <rewrite>
            <rules>
                <rule name="HTTP to HTTPS redirect" stopProcessing="true">
                    <match url="(.*)" />
                    <conditions>
                        <add input="{HTTPS}" pattern="off" ignoreCase="true" />
                    </conditions>
                    <action type="Redirect" url="https://{HTTP_HOST}/{R:1}"
                        redirectType="Permanent" />
                </rule>
            </rules>
            <outboundRules>
                <rule name="Add Strict-Transport-Security when HTTPS" enabled="true">
                    <match serverVariable="RESPONSE_Strict_Transport_Security"
                        pattern=".*" />
                    <conditions>
                        <add input="{HTTPS}" pattern="on" ignoreCase="true" />
                    </conditions>
                    <action type="Rewrite" value="max-age=31536000" />
                </rule>
            </outboundRules>
        </rewrite>
    </system.webServer>
</configuration>

Réponse originale à cette question (remplacé par le ci-dessus le 4 décembre 2015)

fondamentalement

protected void Application_BeginRequest(Object sender, EventArgs e)
{
   if (HttpContext.Current.Request.IsSecureConnection.Equals(false) && HttpContext.Current.Request.IsLocal.Equals(false))
   {
    Response.Redirect("https://" + Request.ServerVariables["HTTP_HOST"]
+   HttpContext.Current.Request.RawUrl);
   }
}

qui iraient dans le monde.asax.cs (ou global).asax.vb)

je ne sais pas de manière à spécifier dans le web.config

La IIS7 module va vous permettre de rediriger.

    <rewrite>
        <rules>
            <rule name="Redirect HTTP to HTTPS" stopProcessing="true">
                <match url="(.*)"/>
                <conditions>
                    <add input="{HTTPS}" pattern="^OFF$"/>
                </conditions>
                <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" redirectType="SeeOther"/>
            </rule>
        </rules>
    </rewrite>

Si vous ne parvenez pas à configurer IIS pour quelque raison que ce soit, je ferais un module HTTP qui effectue la redirection pour vous:

using System;
using System.Web;

namespace HttpsOnly
{
    ///<summary>
    ///Redirects the Request to HTTPS if it comes in on an insecure channel.
    ///</summary>
    public class HttpsOnlyModule : IHttpModule
    {
        public void Init(HttpApplication app)
        {
            //Note we cannot trust IsSecureConnection when 
            //in a webfarm, because usually only the load balancer 
            //will come in on a secure port the request will be then 
            //internally redirected to local machine on a specified port.

            //Move this to a config file, if your behind a farm, 
            //set this to the local port used internally.
            int specialPort = 443;

            if (!app.Context.Request.IsSecureConnection 
               || app.Context.Request.Url.Port != specialPort)
            {
               app.Context.Response.Redirect("https://" 
                  + app.Context.Request.ServerVariables["HTTP_HOST"] 
                  + app.Context.Request.RawUrl);    
            }
        }

        public void Dispose()
        {
            //Needed for IHttpModule
        }
    }
}

Puis il suffit de le compiler une DLL, ajouter une référence à votre projet et de le placer dans le web.config:

 <httpModules>
      <add name="HttpsOnlyModule" type="HttpsOnly.HttpsOnlyModule, HttpsOnly" />
 </httpModules>

Si la prise en charge SSL n'est pas configurable dans votre site (c'est à dire. doit être capable de tourner https activé/désactivé) - vous pouvez utiliser le bouton [RequireHttps] attribut sur n'importe quel controller /contrôleur de l'action que vous souhaitez sécuriser.

Pour @Joe ci-dessus, "Ce qui me donne une redirection en boucle. Avant j'ai ajouté le code a bien fonctionné. Toutes les suggestions? – Joe 8 Nov '11 à 4:13"

Ce qui se passait pour moi aussi et je crois que ce qui se passait c'est qu'il y a un équilibrage de la charge de terminaison SSL demande devant le serveur Web. Donc, mon site Web est toujours en train de penser que la demande est "http", même si le navigateur d'origine a demandé d'être "https".

J'avoue que c'est très orthodoxe, mais ce qui a fonctionné pour moi a été de mettre en œuvre un "JustRedirected" bien que je pouvais l'effet de levier pour comprendre la personne a déjà été redirigé une fois. Donc, je test pour des conditions spécifiques qui justifient la redirection et, si elles sont respectées, j'ai défini cette propriété (valeur stockée dans la session) avant la redirection. Même si le http/https conditions pour la redirection sont remplies, la deuxième fois, j'ai contourner la redirection de la logique et de réinitialiser le "JustRedirected" session de la valeur à false. Vous aurez besoin de votre propre test conditionnel logique, mais ici, c'est une simple mise en œuvre de la propriété:

    public bool JustRedirected
    {
        get
        {
            if (Session[RosadaConst.JUSTREDIRECTED] == null)
                return false;

            return (bool)Session[RosadaConst.JUSTREDIRECTED];
        }
        set
        {
            Session[RosadaConst.JUSTREDIRECTED] = value;
        }
    }

C'est une meilleure réponse repose sur @Troy Hunt. Ajouter cette fonction à votre WebApplication classe dans Global.asax.cs:

    protected void Application_BeginRequest(Object sender, EventArgs e)
    {
        //Allow https pages in debugging
        if (Request.IsLocal)
        {
            if (Request.Url.Scheme == "http")
            {
                int localSslPort = 44362; //Your local IIS port for HTTPS

                var path = "https://" + Request.Url.Host + ":" + localSslPort + Request.Url.PathAndQuery;

                Response.Status = "301 Moved Permanently";
                Response.AddHeader("Location", path);
            }
        }
        else
        {
            switch (Request.Url.Scheme)
            {
                case "https":
                    Response.AddHeader("Strict-Transport-Security", "max-age=31536000");
                    break;
                case "http":
                    var path = "https://" + Request.Url.Host + Request.Url.PathAndQuery;
                    Response.Status = "301 Moved Permanently";
                    Response.AddHeader("Location", path);
                    break;
            }
        }
    }

(Pour activer SSL sur votre construire l'activer dans les Propriétés de dock pour le projet)

J'ai passé quelque temps à la recherche pour les meilleures pratiques qui ont du sens et trouvé à l'issue de laquelle a travaillé amené à la perfection pour moi. J'espère que cela va vous sauver de temps en temps.

À l'aide de fichier de Config (par exemple un asp.net le site web)
https://blogs.msdn.microsoft.com/kaushal/2013/05/22/http-to-https-redirects-on-iis-7-x-and-higher/

ou sur votre propre serveur
https://www.sslshopper.com/iis7-redirect-http-to-https.html

[RÉPONSE COURTE]
Tout simplement Le code ci-dessous va à l'intérieur de

<system.webServer> 
 <rewrite>
     <rules>
       <rule name="HTTP/S to HTTPS Redirect" enabled="true" 
           stopProcessing="true">
       <match url="(.*)" />
        <conditions logicalGrouping="MatchAny">
        <add input="{SERVER_PORT_SECURE}" pattern="^0$" />
       </conditions>
       <action type="Redirect" url="https://{HTTP_HOST}{REQUEST_URI}" 
        redirectType="Permanent" />
        </rule>
       </rules>
 </rewrite>

Dans IIS10 (Windows 10 et le Serveur 2016), à partir de la version à partir de 1709, il y a un nouveau, plus simple option pour l'activation de HSTS pour un site web.

Microsoft décrire les avantages de la nouvelle approche ici, et de fournir de nombreux exemples de la façon de mettre en œuvre le changement par programme ou en modifiant directement le ApplicationHost.fichier de configuration (qui est comme le web.config mais opère au niveau de IIS, plutôt que de chaque site). ApplicationHost.config peut être trouvé dans C:\Windows\System32\inetsrv\config.

Que j'ai décrit deux exemples de méthodes afin d'éviter la pourriture des liens.

Méthode 1 - Modifier le ApplicationHost.fichier de configuration directement
Entre le <site> tags, ajouter cette ligne:

<hsts enabled="true" max-age="31536000" includeSubDomains="true" redirectHttpToHttps="true" />

Méthode 2 - Ligne De Commande:
Exécutez la commande suivante à partir d'une invite de commande élevée (c'est à dire droit de la souris sur CMD et exécuter en tant qu'administrateur). N'oubliez pas de swap Contoso avec le nom de votre site tel qu'il apparaît dans le Gestionnaire des services IIS.

c:
cd C:\WINDOWS\system32\inetsrv\
appcmd.exe set config -section:system.applicationHost/sites "/[name='Contoso'].hsts.enabled:True" /commit:apphost
appcmd.exe set config -section:system.applicationHost/sites "/[name='Contoso'].hsts.max-age:31536000" /commit:apphost
appcmd.exe set config -section:system.applicationHost/sites "/[name='Contoso'].hsts.includeSubDomains:True" /commit:apphost
appcmd.exe set config -section:system.applicationHost/sites "/[name='Contoso'].hsts.redirectHttpToHttps:True" /commit:apphost

Les autres méthodes de Microsoft offre en ce que les articles peuvent être de meilleures options si vous êtes hébergé sur un environnement où vous avez un accès limité.

Gardez à l'esprit que IIS10 version 1709 est disponible sur Windows 10, mais pour Windows Server 2016, il est sur une autre version de la piste, et ne pourra pas être diffusé sous forme de patch ou d'un service pack. Voir ici pour plus de détails à propos de 1709.