Le HTTPS est la version sécurisée du HTTP, le protocole que votre navigateur utilise pour charger les sites web. Le « S » signifie que la connexion est chiffrée avec TLS (Transport Layer Security, le successeur de SSL). Aujourd'hui, presque tous les sites l'utilisent, et les navigateurs vous avertissent lorsque ce n'est pas le cas.
Ce que le HTTPS protège
- La confidentialité : personne sur le réseau, comme l'opérateur d'un Wi-Fi public ou votre FAI, ne peut lire les pages, les mots de passe ou les formulaires que vous envoyez.
- L'intégrité : personne ne peut modifier la page en cours de route, par exemple pour y injecter des publicités ou des logiciels malveillants.
- L'authentification : le certificat prouve que le serveur est autorisé à utiliser ce nom de domaine.
Ce que le cadenas ne prouve pas
Le cadenas signifie « votre connexion à ce domaine est chiffrée ». Il ne signifie pas que le site est honnête. Les sites de phishing obtiennent eux aussi des certificats gratuits. Vérifiez toujours le nom de domaine dans la barre d'adresse : paypal.com.secure-login.example n'est pas PayPal.
Ce que le HTTPS ne masque pas
| Masqué par le HTTPS | Toujours visible pour votre FAI ou le réseau |
|---|---|
| Les pages que vous ouvrez sur le site | L'adresse IP du site |
| Les données de formulaire et les mots de passe | Généralement le nom de domaine (via le DNS et la négociation TLS) |
| Les cookies et le contenu | Quand et combien de données vous transférez |
Pour masquer également les noms de domaine, utilisez un DNS chiffré et un VPN.
Comment démarre une connexion TLS
- Votre navigateur se connecte au serveur et indique les versions de TLS qu'il prend en charge.
- Le serveur envoie son certificat, signé par une autorité de certification (AC) à laquelle votre navigateur fait confiance.
- Le navigateur vérifie la signature, le nom de domaine et la date d'expiration.
- Les deux parties conviennent de clés de chiffrement, et la page est envoyée chiffrée.
Avec TLS 1.3, cela ne prend que quelques millisecondes.
Les certificats
- Validation du domaine (DV) : prouve le contrôle du domaine. Gratuit chez Let's Encrypt et la plupart des hébergeurs. Utilisé par la plupart des sites.
- Validation de l'organisation / validation étendue (OV/EV) : l'AC vérifie aussi l'entreprise. Les navigateurs ne le mettent plus en avant.
Les propriétaires de domaine peuvent restreindre les AC autorisées à émettre des certificats avec un enregistrement CAA. Vérifiez-le avec notre Recherche DNS.
Vérifiez les en-têtes de sécurité d'un site
Le HTTPS n'est qu'un début. Des en-têtes comme HSTS et Content-Security-Policy ajoutent une protection supplémentaire. Consultez les en-têtes et la note de n'importe quel site avec le Vérificateur d'en-têtes HTTP.
Les avertissements de certificat
Si votre navigateur affiche « Votre connexion n'est pas privée » :
- Le certificat a peut-être expiré, ou ne correspond pas au domaine.
- Sur un Wi-Fi public, un portail captif ou un attaquant intercepte peut-être la connexion.
- L'horloge de votre ordinateur est peut-être incorrecte.
Ne saisissez jamais de mot de passe sur une page qui affiche un avertissement de certificat.
Questions fréquentes
SSL et TLS, est-ce la même chose ?
TLS a remplacé SSL en 1999. On parle encore de « certificat SSL », mais tous les sites modernes utilisent TLS.
Le HTTPS rend-il un site sûr ?
Il rend la connexion sûre. Le contenu et les intentions du site sont une autre question.
Le HTTPS influence-t-il le référencement ?
Google utilise le HTTPS comme un petit signal de classement, et Chrome signale les sites en HTTP comme « Non sécurisé ».