session und cookies zwischen http und https switchen

Hallo zusammen,

ich habe folgendes Problem:
Für mein Kundenbackend, das Loginskript und den Warenkorb meines Shops möchte ich https verwenden.

Da ich bei strato gehostet bin, kann ich hierfür nur http://www.ssl-id.de verwenden. Das heißt, meine url lautet nicht mehr http://www.abc.de, sondern http://www.sssl-id.de/www.abc.de.
Das ist der Grund,warum ich nicht alle Seiten per SSL verschlüssele.

Denn es wäre auch nicht gerade vertraunesbildend bei den Kunden, wenn die Domain plötzlich ganz anders lauten würde. Ich als sicherheitsbewusster Kunde würde die Seite dann schnell wieder verlassen.

Wenn ich allerdings nur einige Seiten verschlüssele, sind meine Session-Variablen und meine Cookies nicht mehr auf der jeweils anderen Seite verfügbar.

Das Thema habe ich nun ausgiebig gegooglet.
Grundsätzlich scheinen sich sessions und cookies zwishen http und https übertragen zu lassen.
Ich habe aber das Gefühl, dass das bei mir nicht klappt, weil die URLs ja nichts miteinander zu tun haben (http://www.abc.de vs. http://www.ssl-id.de/www.abc.de).

Frage 1:
Wenn ich also ein eigenes Zertifikat hätte und nicht mehr über http://www.ssl-de.de gehen müsste, hätte ich keine Probleme damit. Ist das korrekt?

Alternativ frage ich mich, ob es möglich ist, per mod_rewrite das http://www.ssl-id.de aus der URL zu entfernen und wieder durch meine normales http://www.abc.de zu ersetzen, so dass die URL wieder gleich wäre.
Weiß jemand, ob ich damit das Problem in den Griff kriegen könnte?
Ich habe leider absolut keine Ahnung, wie man so eine Regel formuliert, sonst hätte ich es einfach ausprobiert.

Wenn alles nicht hilft, bleibt mir wohl nur der Umzug zu einem anderen Provider und der Kauf eines eigenen Zertifikats.
mfg,
David

Du kannst dir doch im Plesk (o.ä.) ein DNS-Eintrag erstellen lassen, der "www.sssl-id.de/www.example.com." auf "www.example.com" zeigen lässt, aber nur über ssl erreichbar ist,- zusätzlich zum normalen http

Wenn ich also ein eigenes Zertifikat hätte und nicht mehr über http://www.ssl-de.de gehen müsste, hätte ich keine Probleme damit. Ist das korrekt?

Zum Vergrößern anklicken....

Das ist korrekt. Unabhängig vom Protokoll (http oder https) wird der Browser seine Cookies für abc.de mitsenden, wenn das Ziel der Anfrage abc.de ist. PHP bekommt von der Verschlüsselung eigentlich auch gar nichts mit, die Daten sind ja bereits wieder entschlüsselt bevor Apache sie an PHP übermittelt.

Ich als Kunde würde die Seite wohl auch wieder verlassen, wenn nur beim Checkout plötzlich eine andere second-level domain im Spiel wäre, aber andererseits wird das wohl überhaupt nur ein Bruchteil der Kunden feststellen oder etwas daraus schließen. Das Sicherheitslogo im Browser wird ja angezeigt. (Es sei denn du vertreibst irgendwas sehr Computer-bezogenes, wo sich die Kunden mit solchen Dingen auskennen). Schön ist es natürlich trotzdem nicht.

mod_rewrite wird dir meiner Meinung nach auch nicht weiterhelfen, denn der Browser entscheidet ja anhand der URL, die er verwendet, darüber, welche cookies er mitsendet. Wenn da ssl-de.de steht, schickt er natürlich keine abc.de Cookies mit. Da hilft es dir auch wenig, wenn dein Server dann intern entscheidet, dass ssl-de.de/abc.de eigentlich abc.de sein soll.

Hi zusammen,

vielen Dank schonmal für die Antworten.

Meine Lösung lautet:
weg von strato, eigenes SSL-Zertifikat her. Fertig.

mfg,
David