SSL + https + certificado = Duvidas

3. Você vai pagar uma nota preta por esse certificado, portanto a própria Certisign/Verisign lhe dá a orientação de como proceder. (Normalmente, em produção, o pessoal não costuma usar o próprio Tomcat que não aguenta o tranco, mas usa alguma outra coisa na frente do Tomcat, como o Apache ou o nginx. E é nesses servidores onde o certificado tem de ser solicitado e instalado. )
   O processo de atualização do certificado é sempre manual (dependendo do web server que você for usar, talvez seja possível fazer um script, mas normalmente é manual.)
4. Você, ao comprar um certificado de web server, não pode usá-lo para gerar outros “subcertificados”, já que o campo “Key Usage” não menciona “CA”.
   O que você poderia fazer é comprar um certificado com “wildcard”, tal como o presente em alguns web sites (por exemplo, “*.exemplo.com” serve para todos os subsites de “exemplo.com”. Entretanto,
   a) São poucas as autoridades certificadoras que vendem tais certificados, e
   b) Os browsers estão progressivamente deixando de suportar tais certificados genéricos.

cara, muito obrigado pelas respostas, esclareceram boas dúvidas que eu já tinha a um tempo, só pra ficar claro a respeito dos subcertificados, eles não seriam para prover acesso a outras páginas da aplicação, e sim para uso de criptografia, onde o idéia seria criar um certificado (a partir do master) para cada usuário, podendo ele guardar seus dados criptografados no sistema com seu certificado, mas para o que estou fazendo essa não seria a melhor solução, então vou mudar a linha de pensamento rsrs

só pra confirmar, esse Apache que vc citou é o APACHE HTTP né? ele não vem junto com o TomCat quando baixamos “somente” o tomcat, ou quando é instalado com o netbeans certo?

vlwww

fico no aguardo das outras dúvidas

não tem mais ninguem? oh e agora quem poderá me ajudar? rsrs

bom, pesquisando um pouco mais vi que (como o etanglement falou) o certificado é configurado somente no seu servidor e não na aplicação, então uma aplicação comum que vc faz (criando um novo projeto no netbeans por exemplo) se vc colocar pra rodar no tomcat (colocar na pasta webapps) ele acessa via http://localhost:8080/Aplicacao e também acessa seguramente por meio do https://localhost:8443/Aplicacao funcionando normal para os dois modos

porém eu quero que a aplicação funciona “somente” em https, forçando ela a funcionar em https, pra isso de acordo com o primeiro link que coloquei, teria que alterar o web.xml, ficando assim

<security-constraint>
    <web-resource-collection>
        <web-resource-name>SENHA</web-resource-name>
            <description>Acesso só via HTTPS</description>
            <url-pattern>/login/*</url-pattern>
            <http-method>POST</http-method>
            <http-method>GET</http-method>
        </web-resource-collection>
    <user-data-constraint>
        <description>Usar SSL</description>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

mas desse modo ele só força a pagina de login a usar https, então alterei para:

<security-constraint>
      <web-resource-collection>
         <web-resource-name>AllPages</web-resource-name>
           <url-pattern>/*</url-pattern>
           <http-method>POST</http-method>
           <http-method>GET</http-method>
      </web-resource-collection>
      <user-data-constraint>
        <description>Usar SSL</description>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
      </user-data-constraint>
    <security-constraint>

massss, mesmo assim se coloco a aplicação pra rodar no tomcat, ele acesso tanto com o https como com o http, onde que eu queria que funcionasse somente com https.
As duas formas de consguir isso são:

1. forçando o acesso via https, que deveria ser pelo codigo acima que não está surgindo efeito
2. redirecionando para https sempre que acessar por http, como já perguntei

estou fazendo algo errado? alguem sabe como resolver isso?

Dúvida adiconal: muitas pessoas colocam o acesso seguro somente no login, e não no resto das páginas, pq fazem isso, tem algum problema de sobrecarregar o servidor, deixar mais lento ou ocorrer falhas se a aplicação trabahar inteira em https?

vlw