HTTPS : ce que cela signifie et pourquoi c’est important

Nous profitons tous de l’in­croyable diversité des sites Web sur Internet. Di­ver­tis­se­ment, in­for­ma­tion, ins­pi­ra­tion, pres­ta­tions de service et bien d’autres encore sont ap­pa­rem­ment dis­po­nibles en quantités il­li­mi­tées. Mais mal­heu­reu­se­ment, tous les sites Web ne sont pas bénins. Il existe, comme en dehors du monde numérique, des hommes d’affaires douteux, des cy­ber­cri­mi­nels et du crime organisé. C’est ainsi que des uti­li­sa­teurs de services de banque en ligne sont attirés vers de faux sites Web, afin de pouvoir in­ter­cep­ter leurs iden­ti­fiants. Il arrive aussi que quelqu’un installe un point d’accès WLAN public, afin de pouvoir écouter en secret la com­mu­ni­ca­tion qui a lieu à partir de celui-ci.

Au début, l’ensemble du trafic de données sur le World Wide Web a été déployé de manière ouverte, c’est-à-dire en clair et facile à pirater. C’est le protocole HTTP qui intercède pour la com­mu­ni­ca­tion entre le client (na­vi­ga­teur Web) et le serveur Web, sans chif­fre­ment. Ceci facilite les activités cri­mi­nelles et l’es­pion­nage de mé­ta­don­nées ou attaque-de-l’homme-du-milieu.

C’est pour rendre le Web plus sûr que le HTTPS a été développé. Prenez con­nais­sance ici de ce qu’est le HTTPS et comment il fonc­tionne.

L’abré­via­tion HTTPS signifie « Hypertext Transfer Protocol Secure », qui se traduit par « Protocole hy­per­texte de trans­mis­sion sécurisé ». Le protocole de trans­mis­sion est en quelque sorte le langage par lequel le client - en règle générale le na­vi­ga­teur - et le serveur Web se com­pren­nent. Le HTTPS est la version du protocole de trans­mis­sion qui opère en trans­mis­sion chiffrée.

Le HTTPS remplit deux fonctions :

La com­mu­ni­ca­tion entre le client Web et le serveur Web est chiffrée. Ceci afin d’empêcher qu’un tiers non autorisé « écoute » la com­mu­ni­ca­tion en prenant par exemple con­nais­sance du trafic en réseau WLAN.

Le serveur Web est au­then­ti­fié par le fait qu’en tout début de com­mu­ni­ca­tion, un cer­ti­fi­cat est envoyé au client Web pour attester de la cré­di­bi­lité du domaine. Cette mesure contribue à combattre les trom­pe­ries résultant de faux sites Web.

Quelle dif­fé­rence entre protocole HTTP et HTTPS ? La réponse simple est : tech­ni­que­ment, aucune ! Le protocole lui-même, c’est à dire la syntaxe, est identique dans les deux variantes.

La dif­fé­rence réside dans le fait que le HTTPS utilise un protocole de transport par­ti­cu­lier, à savoir SSL/TLS. Ce n’est pas le protocole lui-même, mais son mode de transport qui est sécurisé de manière sup­plé­men­taire. On peut comparer par analogie :

• Deux personnes se té­lé­pho­nent.
• Elles utilisent un langage commun pour se com­prendre : HTTP.
• La liaison té­lé­pho­nique par laquelle transite leur con­ver­sa­tion n’est pas sécurisée dans le cas d’HTTP, tandis que dans le cas d’HTTPS, elle est spé­cia­le­ment protégée des oreilles in­dis­crètes.

Le tableau qui suit rassemble les dif­fé­rences es­sen­tielles du point de vue de l’uti­li­sa­teur :

Selon les na­vi­ga­teurs et les pa­ra­mé­trages de sécurité, le logiciel peut même empêcher l’ouverture d’un site Web non sécurisé ou indiquer un aver­tis­se­ment à la place de la page Web.

Ce n’est pas HTTP lui-même qui est res­pon­sable de la sécurité, mais le protocole de transport sous-jacent. Où se trouve la dif­fé­rence ?

Le protocole HTTP ne gouverne que la façon dont les contenus doivent être struc­tu­rés et comment le client Web et le serveur Web échangent entre eux. Par contre, le protocole de transport définit comment les flux de données doivent être transmis entre les or­di­na­teurs. Il s’assure par exemple qu’aucun paquet de données n’est perdu. Le protocole de transport standard également utilisé par HTTP est le TCP, le « Trans­mis­sion Control Protocol ».

Il existe une extension à ce protocole qui chiffre les flux de données. Cette extension s’appelle TLS (ancien nom : SSL). Toute com­mu­ni­ca­tion transmise au moyen de ce protocole de transport est ainsi chiffrée de manière que seul le vrai des­ti­na­taire (na­vi­ga­teur Web ou serveur Web) puisse lire le contenu transmis.

Lorsqu’une URL est indiquée avec le préfixe https://, le na­vi­ga­teur la complète au­to­ma­ti­que­ment avec le numéro de port 443. Ce numéro fait savoir à l’or­di­na­teur des­ti­na­taire qu’il doit com­mu­ni­quer sous TLS/SSL.

Les capacités des hackers à espionner et manipuler les sites Web aug­men­tent sans arrêt. C’est pourquoi il est important de chiffrer les flux de données - en par­ti­cu­lier sur les réseaux librement ac­ces­sibles - à un point d’accès public Wifi.

HTTPS est le nouveau standard. Comme indiqué plus haut, les sites Web sans HTTPS sont au minimum étiquetés né­ga­ti­ve­ment, voire même bloqués par les na­vi­ga­teurs Web actuels. Par contre, HTTPS est considéré ap­pa­rem­ment de manière positive dans le clas­se­ment Google, même si Google ne l’a pas ex­pli­ci­te­ment confirmé jusqu’à présent.

Le Règlement Général sur la Pro­tec­tion des Données (RGPD) prescrit que les sites Web doivent être maintenus selon l’état de l’art le plus récent en matière de sécurité, ce qui signifie ac­tuel­le­ment : HTTPS.