Regardez la barre d’adresse de votre navigateur, en haut ou en bas de l’écran. À gauche du nom du site, il y a souvent un petit cadenas. Vous ne l’avez peut-être jamais remarqué. Il signale pourtant quelque chose d’utile : la conversation entre votre téléphone et le site est protégée.
À quoi sert le HTTPS
Quand vous ouvrez un site, votre demande ne va pas directement de votre iPhone au serveur. Elle passe par votre box internet ou par l’antenne 4G, puis par les réseaux de plusieurs opérateurs. Bref, elle traverse Internet, où beaucoup de machines la voient passer.
Sans protection, ce qui voyage peut être lu en route. C’est particulièrement gênant sur un Wi-Fi public, à la gare ou au café : une personne mal intentionnée connectée au même réseau pourrait voir les pages que vous consultez, ou pire, ce que vous tapez dans un formulaire.
Le HTTPS règle ce problème. Avant d’échanger quoi que ce soit, votre navigateur et le serveur se mettent d’accord sur un code secret. Ensuite, tout est brouillé avec ce code. On appelle cela le chiffrement. Pour un curieux sur le trajet, le message ressemble à une suite de caractères sans aucun sens.
Comment ça marche concrètement
Les lettres HTTP désignent le langage utilisé entre le navigateur et le serveur pour demander et envoyer les pages. Le S ajouté à la fin veut dire « sécurisé ». C’est le même langage, mais à l’intérieur du coffret.
Pour que ce coffret fonctionne, le serveur doit posséder un certificat. C’est une sorte de carte d’identité numérique, installée sur le serveur, qui prouve au navigateur qu’il parle bien au vrai francescosun.com et pas à un imposteur. Ce certificat est délivré par un organisme reconnu par les navigateurs, qui vérifie que le demandeur contrôle bien le nom de domaine.
Voici ce qui se passe, en une fraction de seconde, quand vous tapez une adresse :
- Votre navigateur contacte le serveur et lui demande son certificat.
- Il vérifie que ce certificat est valide, pas expiré, et qu’il correspond bien au nom du site.
- Si tout est en ordre, les deux se mettent d’accord sur une clé secrète, valable pour cette visite seulement.
- La page arrive, brouillée pendant le trajet, et le navigateur la remet en clair sur votre écran. Le cadenas s’affiche.
Si le certificat pose problème, le navigateur vous prévient par une page d’alerte du type « Cette connexion n’est pas privée ». Dans ce cas, mieux vaut ne pas insister, surtout s’il s’agit d’un site où vous devez vous connecter ou payer.
Ce que le cadenas ne garantit pas
C’est le piège le plus fréquent. Le cadenas protège le trajet. Il ne dit rien de l’honnêteté du site. Un faux site qui imite votre banque peut très bien avoir son cadenas : son certificat prouve seulement qu’il est bien le propriétaire de sa propre adresse, aussi trompeuse soit-elle.
Le bon réflexe reste donc de lire l’adresse avant de taper un mot de passe ou un numéro de carte. Si elle ressemble à celle de votre banque avec une lettre en trop ou un mot bizarre au milieu, fuyez, cadenas ou pas.
Les mots qu’on vous dira
- HTTPS : la version protégée du langage des pages web. L’adresse commence alors par
https://. - Certificat SSL (ou TLS) : la carte d’identité du site, installée sur le serveur. SSL est l’ancien nom, encore très utilisé.
- Chiffrement : l’opération qui brouille les messages pour les rendre illisibles sans la clé.
- Let’s Encrypt : un organisme qui délivre gratuitement des certificats, utilisé par une grande partie des sites.
Ce que cela change pour votre site
Aujourd’hui, un site sans HTTPS est mal vu. Les navigateurs affichent « Non sécurisé » à côté de son adresse, ce qui fait fuir les visiteurs, et les moteurs de recherche préfèrent les sites protégés.
La bonne nouvelle, c’est que le certificat peut être gratuit grâce à Let’s Encrypt. Il s’installe sur le serveur, à côté du serveur web qui envoie vos pages, et se renouvelle automatiquement s’il est bien configuré. Une fois en place, vous n’avez plus à y penser : chaque visiteur verra le petit cadenas, et le trajet entre son téléphone et votre site sera protégé.