Qu'est-ce que HTTPS ?

Un site Web sécurisé est devenu un gage de confiance pour les internautes. Lorsqu'ils voient un symbole de cadenas dans la barre d'adresse du navigateur, les utilisateurs de sites Web ont l'assurance qu'un site Web est légitime et sûr. 

Internet repose sur des protocoles, dont le protocole HTTP (Hypertext Transfer Protocol). Un S dans le HTTP de l'URL d'un site Web (HTTPS) indique que le site utilise la version sécurisée de HTTP, le S signifiant « sécurisé ». À l'origine, HTTPS (Hypertext Transfer Protocol Secure) était utilisé pour protéger les connexions en ligne et garantir la sécurité des transactions bancaires et des achats en ligne. Cependant, en 2014, Google a augmenté les enjeux pour HTTPS en utilisant HTTPS comme signal de classement. L'effet sur l'adoption de HTTPS a été spectaculaire et aujourd'hui, plus de 80 % de l'ensemble des sites Web utilisent HTTPS.

HTTPS et le protocole de sécurité associé, SSL (Secure Sockets Layer), ont été publiés par Netscape en 1994 pour protéger le navigateur Netscape.

Les connexions HTTPS facilitent deux fonctions essentielles pour garantir la confiance et créer des connexions sécurisées sur Internet :

• Authentification du site Web : Cette fonction permet d'authentifier un site Web afin que l'utilisateur sache que le site a été vérifié et est légitime ; par exemple, apple.com est le site Web de la société Apple Inc.
• Chiffrement des données : Les sites Web HTTPS utilisent le protocole TLS (Transport Layer Security ; successeur de SSL) pour chiffrer le trafic Web, protégeant ainsi les informations sensibles entre un client (par exemple, un navigateur Web) et un serveur Web. Par exemple, si vous achetez un article en ligne sur un site HTTPS et envoyez vos données de carte de crédit pour effectuer l'achat, ces données seront envoyées de manière cryptée, plutôt que sous forme de texte brut, au serveur Web.

HTTPS est basé sur une technologie appelée PKI (infrastructure à clés publiques). La PKI repose sur le chiffrement à clé publique et sur une signature numérique. Une « paire de clés » est créée par le propriétaire du site Web et la clé publique est envoyée à une autorité de confiance appelée « autorité de certification » (AC). Cette autorité signe la clé publique, ce qui génère un document appelé certificat numérique. Le site Web détient désormais une clé privée et un certificat SSL, qui comprend la clé publique. La clé publique vérifie tout ce qui est signé par la clé privée. Le certificat numérique établit une chaîne de confiance et de validation qui garantit que le site Web est authentique. HTTPS utilise un protocole de sécurité (SSL/TLS) pour chiffrer et déchiffrer les communications et les données sensibles entre le navigateur Web et le serveur Web.

Le flux requête-réponse du protocole HTTPS débute de la même manière que HTTP. Cependant, une étape intermédiaire, l'étape 1.5, permet de différencier les deux flux:

Étape 1 : navigation et initiation

L'utilisateur saisit une adresse Web dans un navigateur ou clique sur un lien dans un e-mail ou un autre message. L'adresse contient une URL (Uniform Resource Locator) avec HTTP, indiquant au navigateur d'utiliser HTTP pour récupérer le document représentant l'URL.

Étape 1.5 : la « danse cryptographique »

À l'étape 1.5, le navigateur et le serveur Web effectuent une « danse cryptographique ». Cela implique l'échange de messages chiffrés. Ces étapes nécessitent que des fonctions cryptographiques complexes soient exécutées à l'aide du protocole TLS, en utilisant la paire de clés publique-privée du serveur Web générée par l'autorité de certification (AC). Cette étape authentifie le site Web et crée deux nouvelles clés (clés de session) : une pour le client et une pour le serveur. Ces clés de session sont utilisées pour chiffrer et déchiffrer les messages.

Étape 2 : le client envoie un message de requête HTTP au serveur

L'étape 2 est identique au flux requête-réponse de l'étape 2 du protocole HTTP. Le client, par exemple le navigateur, élabore un message de requête adressé au serveur Web. Le message comprend des informations supplémentaires sur la demande, telles que l'identité de l'entité demandeuse. Cependant, contrairement à HTTP, après avoir écrit le message de requête et avant que le navigateur puisse envoyer le message, la requête HTTP(S) doit utiliser la clé de session pour chiffrer le message.

Étape 3 : le serveur Web renvoie la réponse HTTPS au client

Une fois la requête reçue, le serveur Web utilise sa clé de session pour déchiffrer et lire le message. Le serveur Web élabore ensuite un message de réponse, qu'il chiffre à l'aide de la clé de session avant de le renvoyer au navigateur.

Étape 4 : le message est affiché par le navigateur

Lors de la réception du message chiffré, le navigateur utilise sa clé de session pour déchiffrer puis lire le message. Lors de la dernière partie de cette étape, le navigateur affiche le message de réponse et affiche la page Web dans le navigateur.

Sans HTTPS, les internautes et les données échangées en ligne entre les clients (par exemple, un navigateur) et un serveur Web sont exposés aux risques suivants :

Attaques par interception : HTTPS utilise le protocole TLS pour chiffrer les communications. Même si les cybercriminels interceptent la communication, ils ne peuvent pas déchiffrer et voler les données.

Vol d'informations d'identification : Le vol d'informations d'identification est à l'origine de 54 % des incidents de sécurité, selon un rapport de Ponemon. Si le protocole HTTPS est correctement implémenté sur un site Web, toutes les données envoyées via ce site Web (ex. : identifiants de connexion) seront sécurisées, car elles sont chiffrées.

Perte de confiance : Les sites Web qui signalent qu'ils utilisent HTTPS ont reçu un certificat numérique d'une autorité de certification de confiance. L'AC effectue des contrôles préalables sur l'entreprise lors de l'émission du certificat. Toutefois, il convient de faire preuve de prudence. En effet, comme le montrent les statistiques de l'Anti-Phishing Working Group (APWG), 83 % des sites d'hameçonnage utilisent HTTPS.