Comprendre comment fonctionne HTTPS suppose de tenir séparés les deux mécanismes qui se cachent derrière le cadenas, car les confondre est à l’origine du malentendu le plus répandu du web :
- le chiffrement, qui rend illisible ce que vous échangez ;
- le certificat, qui établit avec qui vous l’échangez.
Le premier protège le contenu. Le second protège de l’erreur qui consiste à parler à quelqu’un d’autre. Les deux sont nécessaires, et ensemble ils ne suffisent toujours pas à dire que le site est honnête — nous y revenons à la fin.
Cet article approfondit la recommandation se connecter uniquement en HTTPS.
Le problème de départ
Deux interlocuteurs qui ne se sont jamais rencontrés doivent s’échanger des informations confidentielles à travers un canal public, observable par n’importe qui.
Cela paraît impossible : pour chiffrer, il faut une clé partagée, mais pour partager la clé, il faudrait un canal déjà sûr. Le problème est circulaire, et il a été résolu dans les années soixante-dix par une idée élégante.
Le chiffrement à clé publique. Chaque partie dispose de deux clés liées mathématiquement : une clé publique, qui peut être distribuée à tout le monde, et une clé privée, qui reste secrète. Ce qui est chiffré avec la clé publique ne peut être déchiffré qu’avec la clé privée.
Cela rompt le cercle : la clé publique peut circuler en clair, parce que la connaître ne permet de rien lire.
Comment fonctionne HTTPS quand vous ouvrez un site
Quatre étapes, en une fraction de seconde.
1. Le navigateur se présente. Il contacte le serveur et lui indique quelles méthodes de chiffrement il sait utiliser.
2. Le serveur se présente avec son certificat. Un document électronique qui contient le nom du domaine, la clé publique du serveur, la date d’échéance et la signature d’une autorité de certification.
3. Le navigateur vérifie le certificat. Trois contrôles : la signature de l’autorité est-elle valide et reconnue ? Le certificat est-il encore en cours de validité ? Le nom du domaine correspond-il à celui que vous avez tapé ? Si un seul échoue, un avertissement apparaît.
4. Une clé de session est convenue. En s’appuyant sur le chiffrement à clé publique, les deux parties établissent une clé temporaire partagée, utilisée pour tout le reste de la conversation parce qu’elle est beaucoup plus rapide.
À partir de là, tout le trafic est chiffré avec une clé qui n’existe que pour cette session et qu’aucun observateur n’a vue passer.
Pourquoi une autorité de certification est nécessaire
L’étape 3 est celle qui soutient tout l’édifice, et elle mérite d’être expliquée.
Sans vérification, n’importe qui pourrait se présenter avec un certificat déclarant « je suis votre banque ». Il faut donc quelqu’un qui se porte garant — une autorité qui, avant d’émettre un certificat pour un domaine, vérifie que le demandeur contrôle réellement ce domaine.
La chaîne de confiance fonctionne ainsi :
- votre appareil contient une liste d’autorités considérées comme fiables, actualisée avec le système d’exploitation et avec le navigateur ;
- chaque certificat est signé par l’une de ces autorités, directement ou par l’intermédiaire d’un relais ;
- le navigateur remonte la chaîne jusqu’à une autorité présente dans la liste.
Si la chaîne s’interrompt ou mène à une autorité inconnue, l’avertissement apparaît. C’est la raison pour laquelle les appareils domestiques produisent presque toujours un avertissement : leur certificat n’est signé par personne — ils se le sont fabriqué eux-mêmes.
Ce qu’un certificat vérifie réellement
C’est le point central de toute l’unité.
Le certificat atteste une seule chose : que l’interlocuteur qui répond contrôle bien le domaine écrit dans l’adresse. Il n’atteste pas :
- que la personne qui contrôle ce domaine soit honnête ;
- que le site traite correctement les données ;
- que ce domaine soit celui que vous vouliez atteindre.
La dernière ligne est la plus déterminante. Si vous tapez banque-fr.com au lieu de banque.fr, le certificat de banque-fr.com est parfaitement valide — parce que ce domaine est réellement contrôlé par l’interlocuteur qui vous répond. Le système a fonctionné correctement et vous a conduit exactement là où vous aviez demandé d’aller.
Obtenir un certificat est aujourd’hui gratuit et automatisé. Ce fut un changement positif — il a rendu le web chiffré par défaut — mais il a aussi supprimé toute barrière économique pour les personnes qui montent un site frauduleux.
Conclusion pratique : le certificat règle le problème de l’interception, pas celui de la tromperie.
Comment la modification est détectée
Un aspect moins connu du chiffrement moderne : il ne protège pas seulement de la lecture, mais aussi de l’altération.
Chaque bloc de données voyage accompagné d’une valeur calculée à partir du contenu et de la clé de session. Si quelque chose est modifié en chemin, la valeur ne correspond plus et le navigateur refuse la donnée au lieu de l’afficher.
C’est la raison technique pour laquelle, sur une connexion chiffrée, personne ne peut insérer de contenu dans la page ni remplacer un fichier en cours de téléchargement. Non pas parce que le contenu resterait illisible, mais parce que toute modification est détectée.
Ce qui reste visible pour une personne qui observe
Une précision honnête : le chiffrement ne rend pas tout invisible.
| Quoi | Visible pour une personne qui observe le réseau ? |
|---|---|
| Contenu des pages | Non |
| Données saisies dans les formulaires | Non |
| Identifiants | Non |
| Quel site vous contactez | En bonne partie, oui |
| Volume et rythme du trafic | Oui |
| Durée de la connexion | Oui |
La quatrième ligne demande une précision : la résolution du nom du site et certaines données de la négociation initiale peuvent révéler la destination. Des technologies réduisent cette exposition, mais elles ne sont pas encore généralisées.
D’où une distinction utile : HTTPS protège le contenu ; il ne cache pas complètement le fait que vous visitiez tel site. C’est exactement l’espace dont traitent les recommandations consacrées au VPN.
Les trois types de certificat, et pourquoi ils ne comptent plus
La distinction était autrefois pertinente, et les navigateurs la montraient visuellement. Ce n’est plus le cas, et savoir pourquoi évite de chercher une information qui n’existe plus.
| Type | Ce que vérifie l’autorité | Coût |
|---|---|---|
| Validation du domaine | Seulement que le demandeur contrôle le domaine | Gratuit, automatique |
| Validation de l’organisation | Aussi l’existence de l’organisation | Payant |
| Validation étendue | Vérification documentaire approfondie | Payant, plus onéreux |
Il y a quelques années encore, les certificats à validation étendue produisaient une barre verte portant le nom de l’entreprise. Cette indication a été retirée de tous les navigateurs principaux, pour une raison concrète : les études montraient que les personnes ne la remarquaient pas et que, lorsqu’elles la remarquaient, elles ne l’interprétaient pas correctement.
Résultat pratique : le navigateur ne vous dit plus rien sur le type de certificat, et pour la navigation ordinaire ce n’est pas un problème, car la protection technique — chiffrement et vérification du domaine — est identique dans les trois cas.
La conséquence à garder en tête est en revanche celle-ci : il n’existe plus aucun indicateur visuel du sérieux du titulaire. Le jugement sur la fiabilité d’un site repose uniquement sur le nom de domaine et sur le contexte.
Les versions du protocole, et pourquoi elles comptent
Les protocoles de chiffrement ont été mis à jour à plusieurs reprises, et les versions anciennes ont des faiblesses connues. Les navigateurs récents refusent celles qui sont dépassées, ce qui produit parfois des avertissements sur des sites datés.
Il n’y a rien à configurer : il suffit de garder le navigateur à jour, car c’est lui qui sait quelles versions accepter et lesquelles refuser. C’est l’une des façons dont la recommandation sur les mises à jour soutient celle-ci.
Ce qui se passe quand un certificat est révoqué
Un aspect peu discuté, et qui explique certains comportements du navigateur en apparence incohérents.
Un certificat a une échéance, mais il peut aussi être révoqué avant, généralement parce que la clé privée du serveur a été compromise. À partir de ce moment, il ne devrait plus être accepté.
La difficulté est de le vérifier : le navigateur devrait demander à l’autorité si ce certificat est toujours valide, ce qui suppose une requête supplémentaire à chaque connexion. C’est lent, cela révèle quels sites vous visitez, et cela échoue si l’autorité ne répond pas.
Les solutions retenues aujourd’hui sont au nombre de deux, toutes deux partielles :
- des listes de révocation distribuées avec le navigateur, actualisées périodiquement et limitées aux cas les plus notables ;
- une confirmation jointe par le serveur lui-même, qui présente, en même temps que son certificat, une déclaration récente de l’autorité.
Cela explique un choix de conception aux conséquences pratiques : les certificats ont aujourd’hui des durées courtes, souvent de quelques mois. Ce n’est pas une complication administrative — c’est le moyen le plus efficace de limiter les dégâts d’une révocation qui n’arrive pas : un certificat compromis cesse de toute façon de fonctionner assez vite.
Pour la personne qui navigue, la retombée tient en une phrase : les avertissements de certificat expiré sont plus fréquents qu’autrefois, et dans la plupart des cas ils signalent un renouvellement oublié, pas une attaque.
Un mécanisme peu connu règle un problème précis : la fenêtre entre le premier contact et le passage à la connexion chiffrée.
Si vous tapiez seulement le nom d’un site, le navigateur tenterait d’abord une connexion en clair, et le site répondrait en le redirigeant. Cela dure une fraction de seconde, mais c’est une fraction de seconde en clair — précisément la fenêtre qu’exploite la technique de rétrogradation vers une connexion non chiffrée.
La solution retenue fonctionne sur deux niveaux.
La déclaration du site. Un site peut indiquer au navigateur, au moyen d’un en-tête de sa réponse, qu’il doit désormais être contacté uniquement de façon chiffrée, pendant une durée annoncée. Le navigateur le note, et dès la visite suivante il ne tente plus la connexion en clair.
La liste préchargée. Reste la toute première visite. C’est pourquoi il existe une liste de domaines distribuée avec le navigateur, qui contient les sites ayant demandé à être traités ainsi dès le premier contact. La plupart des grands services y figurent.
Résultat pratique : pour les sites importants, la fenêtre en clair n’existe plus, pas même à la première visite. Et le mode HTTPS uniquement du navigateur étend le même comportement à tous les sites, ce qui referme définitivement le sujet.
C’est un bon exemple de l’amélioration de ce domaine : un problème qui, il y a dix ans, demandait l’attention de la personne qui navigue est aujourd’hui traité par un paramètre actif d’origine.
Lien avec le Framework Cyber Welfare
| Pilier | Apport de ce contenu |
|---|---|
| Compétences | Distinguer chiffrement, certificat et identité du site |
| Conscience du risque | Comprendre pourquoi le certificat ne certifie pas l’honnêteté |
| Comportements sûrs | Garder à jour le navigateur dont dépend la vérification |
Niveau de référence : FL3 — Autonome.
Récapitulatif
- Comment fonctionne HTTPS tient en deux mécanismes : le chiffrement protège le contenu, le certificat établit l’interlocuteur.
- Le certificat atteste seulement que l’interlocuteur qui répond contrôle ce domaine.
- Toute modification en transit est détectée et le navigateur refuse la donnée.
- Le contenu est protégé ; la destination reste en bonne partie visible.
Action concrète à faire aujourd’hui. Cliquez sur le cadenas du site que vous êtes en train de lire et ouvrez le détail du certificat. Regardez le champ du domaine : c’est cela, et cela seulement, que le système garantit. Pour situer votre niveau d’ensemble, vous pouvez aussi faire l’auto-évaluation de la résilience numérique.
Contenus liés
- Se connecter uniquement en HTTPS — la recommandation dont naît cet approfondissement
- Comment vérifier qu’un site est sûr — la procédure pratique
- Interception du trafic — ce que ce mécanisme empêche
- Signes d’une connexion non protégée — pourquoi certains avertissements apparaissent
Pour approfondir un terme
Fiches courtes du glossaire Cyber Welfare, pour s’arrêter sur un seul terme :
- Empreinte du navigateur — ce qu’un site apprend de vous en dehors du contenu échangé
- Chiffrement du disque — le même principe appliqué aux données stockées
Faites le premier pas : le Programme « Protégez votre Vie Privée Numérique » vous accompagne gratuitement, une recommandation à la fois.
