Di norma se non ci sono problemi di prestazioni particolari si cifra tutto semplicemente usando HTTPS (e non HTTP) come trasporto.