Numérique · Internet et sécurité
HTTPS et chiffrement des sites web
HTTPS est la version sécurisée du protocole HTTP : les données échangées entre le navigateur et le site sont chiffrées par TLS, et un certificat prouve l’identité du domaine. Le cadenas ne garantit pas que le site est honnête.
Mis à jour le 4 min de lecture
Quand on consulte une page web, le navigateur et le serveur échangent des messages selon le protocole HTTP (HyperText Transfer Protocol). En HTTP simple, ces messages circulent en clair : toute personne placée sur le chemin (réseau Wi-Fi public, fournisseur d’accès, routeur compromis) peut les lire ou les modifier. HTTPS (le S signifie secure) ajoute une couche de chiffrement. Aujourd’hui, la très grande majorité des pages consultées dans les principaux navigateurs le sont en HTTPS.
Ce que HTTPS garantit
| Garantie | Signification |
|---|---|
| Confidentialité | Le contenu des échanges (mots de passe, formulaires, pages consultées sur le site) est illisible pour un tiers |
| Intégrité | Les données ne peuvent pas être modifiées en chemin sans que cela se voie |
| Authentification du domaine | Le site auquel on parle est bien celui qui détient le nom de domaine affiché |
Ce que HTTPS ne garantit pas
- Que le site est honnête : les sites de phishing ont presque tous un cadenas. Un certificat s’obtient gratuitement en quelques minutes pour n’importe quel domaine, y compris
banque-securite-client.com. - Que le site est sûr : il peut contenir des logiciels malveillants ou mal protéger vos données une fois reçues.
- L'anonymat : le fournisseur d’accès voit toujours à quel site vous vous connectez (le nom de domaine), même s’il ne voit pas les pages précises (voir VPN).
Comment fonctionne HTTPS
HTTPS est simplement HTTP transporté à l’intérieur d’un tunnel chiffré par le protocole TLS (Transport Layer Security), successeur de SSL. Les versions actuelles sont TLS 1.2 et TLS 1.3 (2018), plus rapide et plus sûre ; SSL et les premières versions de TLS sont abandonnés.
La poignée de main TLS, simplifiée
- Le navigateur contacte le serveur et propose les méthodes de chiffrement qu’il connaît.
- Le serveur répond avec son certificat, qui contient sa clé publique et la signature d’une autorité de certification.
- Le navigateur vérifie le certificat : signature valide, nom de domaine correspondant, date de validité.
- Les deux parties s’accordent sur une clé de session secrète grâce à un échange de clés (Diffie-Hellman), sans jamais la transmettre en clair.
- Toute la suite de l’échange est chiffrée avec cette clé, par un chiffrement symétrique rapide (AES ou ChaCha20).
Chiffrement asymétrique et symétrique
| Asymétrique | Symétrique | |
|---|---|---|
| Clés | Une paire : clé publique (partageable) et clé privée (secrète) | Une seule clé partagée |
| Vitesse | Lent | Très rapide |
| Rôle dans HTTPS | Authentifier le serveur, établir la clé de session | Chiffrer les données échangées |
| Exemples | RSA, courbes elliptiques | AES, ChaCha20 |
Les certificats
Un certificat est une carte d’identité numérique du site, signée par une autorité de certification reconnue par le navigateur ou le système. Il existe plusieurs niveaux :
- DV (validation de domaine) : on prouve seulement qu’on contrôle le domaine. C’est le cas le plus courant, et ce que délivre gratuitement Let’s Encrypt, autorité à but non lucratif lancée en 2015-2016 qui a fortement contribué à généraliser HTTPS.
- OV et EV (validation de l’organisation, validation étendue) : l’autorité vérifie l’existence de l’entreprise. Les navigateurs n’affichent plus de distinction visuelle nette pour ces certificats.
Les certificats ont une durée de validité limitée, qui raccourcit progressivement à l’échelle de l’industrie, pour limiter les dégâts en cas de vol de clé. Un certificat expiré ou ne correspondant pas au domaine déclenche un avertissement plein écran du navigateur : il ne faut pas le contourner sur un site où l’on saisit des informations.
Pour aller plus loin
- HSTS : un site peut demander au navigateur de ne jamais s’y connecter autrement qu’en HTTPS.
- Mode HTTPS uniquement : les navigateurs proposent de refuser automatiquement les connexions non chiffrées ou d’avertir avant.
- Le chiffrement du nom de domaine reste partiel : le DNS chiffré (DoH, DoT) et l’extension ECH de TLS visent à masquer aussi le site consulté.
- Chiffrement de bout en bout : dans une messagerie, il protège le message même vis-à-vis du service qui le transporte, ce que HTTPS ne fait pas (le site, lui, reçoit vos données en clair).
Questions fréquentes
Un site en HTTP est-il dangereux ?
Il n’est pas forcément malveillant, mais tout ce qui y est saisi peut être intercepté. Il ne faut jamais y entrer de mot de passe ni de coordonnées bancaires. Les navigateurs l’indiquent par la mention « Non sécurisé ».
Peut-on faire confiance à un site parce qu’il a un cadenas ?
Non. Le cadenas protège la connexion, pas les intentions du site. Il faut vérifier l’adresse, la réputation du site et se méfier des liens reçus par message.
Quelle différence entre SSL et TLS ?
TLS est le successeur de SSL. Le nom « certificat SSL » est resté dans l’usage commercial, mais toutes les connexions sécurisées actuelles utilisent TLS.