Cadenas HTTPS : ce qu’il garantit, et ce qu’il ne dit pas

Fiche complémentaire de la leçon « HTTPS : un pilier de la sécurité en ligne » — cours Vie privée en ligne

Le cadenas HTTPS, c’est le signe que la connexion entre votre navigateur et un site est chiffrée, c’est-à-dire rendue illisible pour les autres utilisateurs du même réseau. Cette fiche explique ce que ce sceau protège, ce qu’il laisse visible, et pourquoi il vous dit comment vos données voyagent, pas qui les reçoit ni ce qu’il en fait.

A. Pourquoi c’est important

Le cadenas à côté de l’adresse d’un site est un signe de sécurité que l’on a souvent appris à chercher. L’habitude garde son utilité : sur une page sans HTTPS, ce que vous saisissez dans un formulaire peut être lu par d’autres personnes connectées au même réseau. Les conseils de l’administration pour payer en ligne la reprennent d’ailleurs.

Mais le cadenas HTTPS ne répond qu’à une question : cette connexion est-elle scellée ? Il ne dit pas qui se trouve à l’autre bout, qui peut voir que vous visitez ce site, ni ce que le site va lui-même recueillir.

Dans ce cours, la vie privée, c’est savoir ce que l’on sait de vous, qui le sait, et ce que vous choisissez de laisser savoir. HTTPS change le « qui » pour le réseau, pas pour le site avec lequel vous échangez.

Ce que disent les sources

Le ministère de l’Économie recommande, dans ses conseils pour le paiement en ligne, d’acheter sur un site en « https » et de repérer le cadenas près de l’adresse. Le même article ajoute aussitôt une limite : « Cela ne suffit pas à vérifier la fiabilité d’un site Internet. » La DGCCRF, qui veille à la loyauté du commerce, range elle aussi la vérification du protocole HTTPS parmi les points essentiels pour acheter en sécurité. Sa fiche invite aussi à lire les mentions légales du site, où figurent le nom, l’adresse et les contacts du professionnel.

Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes, décrit l’hameçonnage (en anglais, phishing) comme une technique frauduleuse « destinée à leurrer l’internaute ». Son critère est simple : « Vérifiez l’adresse du site qui s’affiche dans votre navigateur. » Il porte sur le nom du site, pas sur le cadenas.

L’Electronic Frontier Foundation (EFF), une organisation de défense des droits numériques, rappelle dans un guide en anglais que les serveurs d’un site en HTTPS voient les données que vous saisissez, alors que ces informations restent illisibles pour qui écoute le réseau. Elle précise qu’un site en HTTPS peut encore utiliser des cookies de suivi ou héberger un logiciel malveillant.

L’équipe du navigateur Chrome a écrit en mai 2023 que presque tous les sites d’hameçonnage utilisent HTTPS. Elle cite une étude de 2021 selon laquelle 11 % des participants comprenaient exactement ce que signifie le cadenas, et a annoncé le remplacer par une autre icône dans la barre d’adresse. Le cadenas, indique-t-elle, ne renseigne pas sur la fiabilité d’un site.

B. Notions clés

Cinq idées pour lire le cadenas HTTPS pour ce qu’il est.

HTTPS

HTTPS est la version chiffrée de HTTP, le langage que votre navigateur et un site utilisent pour échanger des pages. Chiffrer, c’est transformer le contenu en un code illisible, pour que seuls votre navigateur et le site puissent le lire. L’EFF parle de chiffrement de la couche de transport (en anglais, transport-layer encryption) : il protège les données pendant le trajet.

Pourquoi c’est important pour vous : Un mot de passe ou un numéro de carte saisi sur une page en HTTPS ne peut pas être lu en chemin par quelqu’un qui partage le Wi-Fi de votre café. C’est une protection réelle, et c’est pourquoi une page sans HTTPS n’est pas l’endroit pour des données personnelles.

Ce que dit le cadenas, et ce qu’il ne dit pas

Le cadenas, ou l’icône que votre navigateur affiche à sa place, dit une seule chose : la connexion avec cette adresse est chiffrée. L’EFF le formule clairement : l’usage de HTTPS ne signifie pas que le service protège pleinement la vie privée de ses utilisateurs.

Pourquoi c’est important pour vous : Le cadenas décrit l’enveloppe, pas celui qui l’ouvre. Une boutique factice peut avoir une connexion parfaitement scellée qui remet vos coordonnées de carte à ceux qui la gèrent.

L’adresse écrite sur l’enveloppe

HTTPS scelle le contenu, pas l’adresse. Selon l’EFF, il masque la page précise que vous ouvrez sur un site : pour une page de son guide, qui écoute la connexion ne voit que le nom du site, ssd.eff.org. Le chiffrement en transit, ajoute-t-elle, ne chiffre pas les métadonnées, c’est-à-dire les informations sur l’échange, comme le moment où il a lieu ou sa durée.

Qui lit cette adresse dépend de l’endroit où vous êtes : sur le Wi-Fi d’un lieu public, celui qui gère le réseau ; chez vous, votre fournisseur d’accès à internet. La CNIL, l’autorité française de protection des données personnelles, note que l’adresse IP (le numéro qui identifie votre connexion) peut révéler les sites que vous visitez et vos habitudes, aux fournisseurs d’accès comme à des tiers. Elle cite, parmi les pistes pour s’en protéger, un VPN (un service qui fait passer votre trafic par un intermédiaire) et le DNS chiffré, tout en précisant que ces solutions ne sont pas parfaites. Le DNS est l’annuaire qui traduit le nom d’un site en adresse numérique. D’autres fiches de cette section détaillent ce qui change avec un Wi-Fi public, un VPN ou votre fournisseur d’accès.

Pourquoi c’est important pour vous : Un nom et une heure peuvent en dire beaucoup. Un réseau pourrait noter que vous avez ouvert le site d’un hôpital à deux heures du matin, alors que la page consultée et ce que vous avez saisi restaient scellés.

L’autre bout de l’enveloppe

Quand vos données arrivent, le site peut tout lire de ce que vous lui avez envoyé. Comme le décrit l’EFF, c’est ensuite à lui de décider quoi en faire : il peut déposer des cookies de suivi (de petits fichiers enregistrés dans votre navigateur pour vous reconnaître d’une visite à l’autre). La CNIL rappelle que le responsable d’un site doit vous permettre de donner un consentement libre et éclairé, sauf si le traceur est nécessaire au service.

Pourquoi c’est important pour vous : HTTPS ne dit pas si un site partage vos données, combien de temps il les garde, ni s’il vous suit avec des cookies. Pour cela, il y a sa politique de confidentialité et ses choix de cookies.

Le mode HTTPS uniquement

C’est un réglage du navigateur qui tente d’ouvrir chaque site en HTTPS et vous prévient avant de charger une page qui ne le propose pas.

Dans Firefox, il s’appelle « Mode HTTPS uniquement » : la page d’aide de Mozilla explique qu’il force la connexion en HTTPS et qu’une page d’avertissement intitulée « Site sécurisé non disponible » s’affiche quand la version HTTPS d’un site manque. Dans Chrome, le réglage porte, en anglais, le nom « Always Use Secure Connections ». Google a annoncé en octobre 2025 qu’il l’activerait par défaut avec Chrome 154, attendu en octobre 2026 : le navigateur demanderait alors l’accord avant le premier accès à un site public sans HTTPS. Vous le trouverez peut-être déjà activé.

Pourquoi c’est important pour vous : C’est le navigateur qui fait la première vérification, et vous ne vous arrêtez que lorsqu’il vous le demande.

C. Un exemple concret : Lucie et le robot de cuisine à moitié prix

Lucie a 48 ans, vit à Nantes, élève ses enfants et utilise des services en ligne tous les jours. Un soir, sur sa tablette, elle voit la publicité du robot de cuisine qu’elle voulait depuis un moment, à moitié prix. La page a l’air professionnelle, et le cadenas est là, dans la barre d’adresse.

« C’est sécurisé », pense-t-elle, et elle remplit son nom, son adresse et son numéro de téléphone. Elle s’arrête à la page de paiement uniquement parce que le prix lui semble trop beau, et décide de regarder à nouveau le lendemain matin.

Ce qui a changé quand Lucie a relu le cadenas

Le lendemain, elle reprend le fil sans se presser :

• Qui se trouvait à l’autre bout ? Elle regarde l’adresse. Ce n’est pas le nom de la boutique qu’elle connaît, mais un nom plus long, avec un mot en plus. Le cadenas avait été sincère : ses données avaient voyagé scellées. Elles étaient simplement arrivées chez quelqu’un qu’elle ne connaissait pas.
• Qu’avait-elle déjà donné ? Un nom, une adresse, un numéro de téléphone. Pas de coordonnées de carte. Elle décide de ne rien confirmer à ceux qui la contacteraient au sujet de sa « commande ».
• Comment joindre la vraie boutique ? Elle tape elle-même l’adresse officielle et retrouve le robot au prix habituel.
• Que peut-elle régler dès maintenant ? Elle active le mode HTTPS uniquement dans son navigateur, pour qu’une page non chiffrée soit arrêtée avant qu’elle ne tape quoi que ce soit.

Quand elle consulte sa banque depuis le Wi-Fi d’un café, HTTPS garde ses identifiants illisibles, mais le réseau du café peut voir qu’elle visite le site de sa banque. Elle continue d’aller dans ce café, et pour la banque, elle choisit ses données mobiles.

Le cadenas n’avait pas menti. Elle lui avait posé une question pour laquelle il n’était pas conçu.

D. À vous de jouer : lire le cadenas sur trois sites (15 minutes)

Quatre étapes courtes, avec votre navigateur habituel et trois sites que vous utilisez, par exemple votre messagerie, une boutique et un site d’actualité. Rien de ce que vous trouverez ne signifie que vous avez mal fait.

Étape 1 — Ouvrir les informations du site (4 minutes)

• Sur chacun des trois sites, sélectionnez le cadenas, ou l’icône qui le remplace, à gauche de l’adresse. Son aspect varie selon le navigateur et la version.
• Lisez ce que dit le petit panneau sur la connexion. Les aides des navigateurs la décrivent en général comme sécurisée ou non.
• Notez le nom du site exactement comme il s’affiche dans la barre d’adresse.

Étape 2 — Se poser les trois questions (5 minutes)

Pour chaque site, notez une réponse courte à chaque question :

• L’enveloppe est-elle scellée ? Le navigateur indique-t-il que la connexion est sécurisée ?
• Qui est à l’autre bout ? Le nom dans la barre d’adresse est-il celui que vous attendiez, lettre par lettre ?
• Que recueille le site lui-même ? Cherchez ses choix de cookies ou sa politique de confidentialité, souvent liés en bas de page. Trouvez une chose qu’il dit recueillir.

Étape 3 — Activer le mode HTTPS uniquement (3 minutes)

• Dans Firefox, ouvrez le menu principal puis « Paramètres › Vie privée et sécurité », et cherchez la section « Mode HTTPS uniquement ». Dans les versions récentes, elle se trouve sous « Sécurité logicielle et des connexions », via « Paramètres avancés » : la page d’aide de Mozilla donne les deux chemins.
• Dans Chrome, cherchez le réglage « Always Use Secure Connections » (que Google situe dans les réglages de sécurité). Selon la version, l’intitulé peut être traduit.
• Dans un autre navigateur, tapez « HTTPS » dans la recherche des réglages. S’il est déjà activé, il n’y a rien à faire de plus.

Étape 4 — Écrire votre règle de pause (3 minutes)

Écrivez une phrase pour la prochaine fois qu’une offre paraît trop belle, par exemple : « Le cadenas me dit que l’enveloppe est scellée. Avant de taper, je vérifie de qui elle porte le nom. »

Gardez-la dans les notes de votre téléphone : une phrase que l’on retient vaut mieux qu’une longue liste de contrôle.

Déjà traité dans le cours Sécurité en ligne

Comment reconnaître un hameçonnage conçu pour convaincre
Elle montre pourquoi une fausse page peut ressembler trait pour trait à la vraie, et l’habitude de passer par un favori ou l’application officielle plutôt que par un lien reçu.

E. Vidéos, articles et autres ressources

D’abord les sources institutionnelles françaises, puis la documentation des navigateurs et un guide en anglais là où nous n’avons pas trouvé de page française sur le point (métadonnées, remplacement du cadenas de Chrome).

Sources institutionnelles françaises

Cybermalveillance.gouv.fr — Que faire en cas de phishing ou hameçonnage ?
La définition de l’hameçonnage et le réflexe de vérifier l’adresse du site affichée dans le navigateur.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing

Ministère de l’Économie — Paiement en ligne : sept conseils pour se prémunir du piratage
Pourquoi préférer un site en https, et pourquoi le cadenas ne suffit pas à juger de la fiabilité.
https://www.economie.gouv.fr/particuliers/numerique-et-cybersecurite/paiement-en-ligne-sept-conseils-pour-se-premunir-du

DGCCRF — Comment réaliser des achats sur internet de façon sécurisée ?
Les points à vérifier avant d’acheter : protocole HTTPS, mentions légales, identité du vendeur.
https://www.economie.gouv.fr/dgccrf/les-fiches-pratiques/comment-realiser-des-achats-sur-internet-de-facon-securisee

CNIL — Nouvelles méthodes de traçage en ligne : quelles solutions pour se protéger ?
Ce que révèlent l’adresse IP et les traceurs, le consentement, et les pistes pour limiter le suivi.
https://www.cnil.fr/fr/nouvelles-methodes-de-tracage-en-ligne-quelles-solutions-pour-se-proteger

Documentation des navigateurs

Mozilla — Mode HTTPS uniquement dans Firefox
Ce que fait le mode et où l’activer, avec la page d’avertissement « Site sécurisé non disponible ».
https://support.mozilla.org/fr/kb/mode-https-uniquement-dans-firefox

Google — HTTPS by default (en anglais)
L’annonce de l’activation par défaut du réglage « Always Use Secure Connections » dans Chrome 154.
https://blog.google/security/https-by-defau/

Chromium Blog — An update on the lock icon (en anglais)
Pourquoi Chrome remplace le cadenas : mal compris, il n’indique pas la fiabilité d’un site.
https://blog.chromium.org/2023/05/an-update-on-lock-icon.html

Guide en anglais

Electronic Frontier Foundation — What Should I Know About Encryption? (en anglais)
Ce que HTTPS cache au réseau, ce qu’il laisse visible, et pourquoi il ne garantit pas le respect de la vie privée par le site.
https://ssd.eff.org/module/what-should-i-know-about-encryption

Liens vérifiés en octobre 2026. Si une adresse change, chercher le titre sur le site de l’organisme aide souvent à la retrouver.

F. Le Framework Cyber Welfare : Compétences, Conscience du risque, Comportements sûrs

Cette fiche relève du pilier Conscience du risque, au niveau FL1 — Débutant : comprendre ce que signifie un signe familier avant de s’y fier.

Compétences

• Ouvrir le panneau d’information d’un site et lire ce qu’il dit de la connexion.
• Vérifier le nom du site dans la barre d’adresse, lettre par lettre.
• Activer le mode HTTPS uniquement dans son navigateur.

Conscience du risque

• Comprendre que HTTPS protège le contenu pendant le trajet, pas l’identité de celui qui le reçoit.
• Savoir que le réseau peut encore voir quel site vous visitez, même s’il ne voit pas ce que vous y faites.
• Reconnaître qu’un cadenas ne dit rien de la façon dont un site utilise vos données.

Comportements sûrs

• Saisir des données personnelles uniquement sur des pages à la connexion chiffrée.
• Ne pas passer outre un avertissement de sécurité sur une page où l’on s’apprête à donner des informations personnelles.
• Aller vers une boutique ou une banque par une adresse que l’on a tapée ou enregistrée, plutôt que par une publicité ou un message.

G. Questions pour réfléchir

• Quand vous voyez un cadenas, qu’avez-vous supposé qu’il promettait ?
• Quels sites préféreriez-vous qu’un réseau ne sache pas que vous visitez, et cela change-t-il l’endroit d’où vous les ouvrez ?
• Pour le site que vous utilisez le plus, savez-vous ce qu’il fait de ce que vous saisissez, une fois que cela est arrivé ?

H. Que faire maintenant

Les recommandations (R) et mesures de sécurité (MS) de la base Cyber Welfare qui s’appliquent le plus directement ici.

1. Une connexion scellée

• R9 — Se connecter uniquement en HTTPS : l’enveloppe fermée du web : ne saisir de données personnelles ou d’identifiants que sur une connexion chiffrée, activer le mode HTTPS uniquement du navigateur, et ne pas passer outre un avertissement de certificat.
• MS5 — Utiliser un navigateur respectueux de la vie privée, comme Firefox ou Brave : HTTPS n’empêche pas un site de vous suivre, donc le choix du navigateur compte aussi. La CNIL cite d’ailleurs le choix d’un navigateur qui limite la prise d’empreinte parmi ses pistes.

Engagement minimal : aujourd’hui, activez le mode HTTPS uniquement, ou « Always Use Secure Connections », dans le navigateur que vous utilisez le plus.

2. La bonne personne à l’autre bout

• R16 — Méfiez-vous des e-mails qui se font passer pour la banque : on entre chez sa banque par la porte que l’on connaît : traitez un tel message comme un avis à vérifier, et rejoignez votre banque par un favori, l’application officielle ou une adresse que vous tapez. Un cadenas sur la page d’arrivée ne montre pas qui vous y a envoyé.

Engagement minimal : enregistrez en favori l’adresse de votre banque et celle de votre boutique habituelle, et utilisez-les plutôt que les liens reçus dans un message ou une publicité.

En bref

• HTTPS, c’est une enveloppe fermée pour vos données entre votre navigateur et un site.
• Le cadenas HTTPS signifie que la connexion est chiffrée. Il ne signifie pas que le site est authentique, honnête ou respectueux de votre vie privée.
• Même avec HTTPS, le réseau que vous utilisez peut voir quel site vous visitez, mais pas ce que vous y faites.
• Le mode HTTPS uniquement laisse le navigateur faire la première vérification ; regarder de qui l’enveloppe porte le nom reste à vous.

Découvrez d’autres fiches complémentaires des cours du programme Protégez votre Vie Privée Numérique.