Les certificats SSL (TLS) permettent à un site Web d'utiliser le protocole de communication sécurisé HTTPS et de certifier qui il est bien qui il prétend être.

cr  01.04.2012      r+  22.10.2024      r-  22.10.2024      Pierre Pinard.         (Alertes et avis de sécurité au jour le jour)

HTTP (HyperText Transfer Protocol) et HTTPS (HyperText Transfer Protocol Secure).

HTTP et HTTPS sont des protocoles de communication entre deux appareils (un client (vous, votre appareil, et un serveur sur le Web). HTTP n'est pas sécurisé, HTTPS oui, de bout en bout.

HTTPS ne se décrète pas par le webmaster ou l'administrateur d'un site Web, mais s'obtient après demande de certification (obtention d'un Certificat SSL). Il existe deux types de certification qui vont permettre d'utiliser le protocole SSL (en réalité, c'est le protocole TLS, mais le nom de l'ancien protocole sécurisé SSL est tellement commun qu'il est conservé par simplification de langage) :

HTTP - HTTPS - Certificat SSL - SSL - TLS

HTTP est encore (2018) le protocole le plus utilisé, comme dans, par exemple, dans https://assiste.com. Partout, entre vous et le serveur, sur les câbles utilisés ou les transmissions radiofréquences utilisées (WiFi, Bluetooth, etc. ...) et sur les dispositifs intermédiaires (concentrateurs, proxy, etc. ...), le contenu peut être intercepté et lu sans aucune difficulté.

Le préfixe HTTPS d'une adresse Web (une URL) indique que, contrairement à HTTP, la communication entre votre navigateur (ou une application autre) et le Web se fait avec chiffrement, authentification et intégrité, ce qui rend plus difficile le travail d'un attaquant cherchant à lire ou modifier les données qui circulent en s'interposant sur leur passage (attaque « homme du milieu » [« man in the middle »] - Exemple).

Le certificat permet trois choses :

• Confidentialité des données : chiffrer le transit des données
  Le chiffrement concerne les données qui transitent sur le Web. Elles sont cryptées. La méthode de chiffrement est, presque tout le temps, TLS (anciennement SSL). Le chiffrement a lieu de bout en bout, avant de sortir de votre appareil et après être reçu sur le serveur - et inversement.
  
  Depuis 2016, la marche vers le tout HTTPS est en cours avec la possibilité pour tous les développeurs de sites Web d'obtenir un certificat gratuitement et immédiatement (c'est le « Let's Encrypt »).
  
  Il faut, bien entendu, que le chiffrement soit accepté par le serveur qui héberge le site, ce qui n'est pas toujours le cas, car cela induit une plus grande consommation processeur côté serveur - les hébergements gratuits se font souvent sur des serveurs sur lesquels le chiffrement TLS n'est pas installé (et de la publicité incrustée par l'hébergeur vient salir les sites hébergés).
• Authentification de l'opérateur : certifier que l'opérateur du site est bien celui qu'il prétend être
  L'authentification concerne l'opérateur d'un site Web. Il ne suffit pas de HTTPS ! Un site Web en HTTPS ne doit pas pouvoir prétendre que c'est un site de la BNP ou du Ministère des Finances (et des impôts). L'authentification, avec un certificat payant cette fois-ci, doit permettant de vous assurer que l'opérateur du site est bien qui il prétend être et non pas un usurpateur (image ci-dessus, cas en bas à droite).
  
  Si le site visité n'a pas de certificat de sécurité, ou si ce certificat, qui doit être renouvelé annuellement, n'est plus à jour (périmé), vous en êtes informé par un message d'alerte.
• Intégrité des données
  L'intégrité assure que les données qui arrivent sont bien les mêmes que celles qui sont parties. Ceci est géré par des hashcodes (condensats).

Message d'alerte « Cette connexion n'est pas certifiée »

Lorsqu'un site utilise partiellement HTTPS, probablement pour économiser son serveur (HTTPS uniquement sur les pages manipulant des données confidentielles ou privées), ou parce que toutes ses pages et tous ses liens internes étaient écrits en HTTP avant qu'il ne passe à HTTPS (et qu'il reste des traces de ce vieux HTTP dans le site), votre navigateur Web peut vous alerter avec un message comme (exemple avec Firefox) :

HTTPS - Message d'alerte en cas de basculement de HTTPS à HTTP

Vous pouvez alors utiliser HTTPS Everywhere pour forcer ce site à utiliser HTTPS sur toutes ses pages.

Note : HTTP a été invente par Tim Berners-Lee alors qu'il inventait le Web.