Quelle est la différence entre HTTP et HTTPS? Choses que vous devez savoir pour rester en sécurité en ligne

Les utilisateurs de Mozilla Firefox peuvent être tombés sur des cas lorsqu'ils essaient de saisir du texte dans un formulaire en ligne et qu'ils voient une boîte indiquant: « La connexion n'est pas sécurisée. Les identifiants entrés ici pourraient être compromis. "Lorsque les utilisateurs de Google Chrome accèdent à ces sites Web, ils voient un message "Non sécurisé" dans la barre d'adresse. De quoi s'agit-il?

Les plus observateurs d'entre vous savent probablement que certaines URL commencent par "http://" et d'autres par "https://". Vous avez peut-être également remarqué que lorsque le site se charge sous HTTPS, vous voyez un symbole de cadenas vert à côté de l'adresse du site Web. Ce cadenas vert est vraiment important, et nous allons maintenant expliquer pourquoi.

Qu'est-ce que HTTP?

HTTP signifie Hypertext Transfer Protocol, et sans lui, vous ne liriez pas cela. HTTP facilite le transfert de texte, d'images et d'autres supports entre votre ordinateur et le serveur hébergeant le site Web que vous visitez. Naviguer sur Internet sans ce protocole serait une expérience très différente.

Lorsque Tim Berners-Lee a créé HTTP en 1989, Internet n'était pas vraiment omniprésent. Peu de gens y avaient accès, et les pionniers en ligne ne voyaient pas pourquoi quelqu'un voudrait voler des informations qui se déplaçaient entre les ordinateurs. Les choses, comme vous le savez probablement, ont beaucoup changé depuis lors.

HTTPS et son importance

À mesure qu'Internet se développait, de plus en plus de mauvaises personnes ont commencé à s'intéresser à la quantité toujours croissante d'informations qui circulaient, et la soi-disant attaque Man-In-The-Middle (MITM) était née. Comme son nom l'indique, lors d'une attaque MITM, une personne s'insère entre l'ordinateur de l'utilisateur et le serveur du site Web et flaire les données qui circulent. De cette façon, l'escroc peut voler des mots de passe et altérer ce que l'utilisateur envoie et reçoit.

Il est vite devenu évident que l'approche de l'envoi d'informations sensibles sur Internet devait changer, et c'est ainsi que HTTPS, ou HTTP Secure, est né. HTTPS est une extension de HTTP plutôt qu'un protocole différent. Il sert à deux fins principales:

• Chiffrement de vos données. Le chiffrement est au cœur du HTTPS. Il s'appuyait initialement sur le protocole cryptographique Secure Socket Layer (SSL), mais il est ensuite passé au successeur plus sécurisé de SSL, Transport Layer Security (TLS). Voici comment cela fonctionne en termes simples. Dès que vous établissez une connexion HTTPS, votre navigateur et le serveur hébergeant le site Web effectuent d'abord la soi-disant «poignée de main» au cours de laquelle, à l'aide d'un chiffrement asymétrique, ils échangent en toute sécurité des données spécifiques à la session et la clé cryptographique qui sera utilisée pour le cryptage des informations. À partir de là, chaque bit de données envoyé vers et depuis votre ordinateur est illisible pour tout le monde sauf vous et le serveur.Par conséquent, alors qu'un pirate pourrait théoriquement intercepter vos identifiants de connexion bancaire en ligne, ils n'auront aucune idée de ce que votre le nom d'utilisateur et les mots de passe ressemblent. De même, ils ne pourront pas capturer et modifier les données que la banque envoie à votre PC.
• Vous assurer que vous êtes au bon endroit. Le but de HTTPS n'est pas seulement de transformer vos données en un gâchis illisible de caractères. Pour servir votre site Web sous une connexion HTTPS, vous devez avoir un certificat SSL (même si SSL a été abandonné il y a quelque temps, le nom est bloqué). Ces certificats sont émis par les soi-disant autorités de certification (ou CA), et l'idée est qu'ils ne sont donnés qu'à des sites Web légitimes. Certains portails en ligne établis comme PayPal ont opté pour des certificats de validation étendue (EV) qui afficheront le nom du propriétaire du site Web. Bien que les experts en sécurité estiment qu'ils n'apportent aucune valeur ajoutée, avant de délivrer un certificat EV, les AC prennent des mesures supplémentaires pour s'assurer que l'entité certifiée est digne de confiance.L'idée des certificats réguliers et EV est de faire savoir à l'utilisateur que le site Web qu'il visite n'est pas malveillant.

Lorsque vous surfez sur le net, vous voulez être sûr d'être toujours sur le bon site Web, ce qui, de nos jours, n'est pas aussi simple qu'il y paraît. Avec autant de hackers fouineurs qui se cachent à chaque coin de rue, vous voulez également être sûr que les données que vous envoyez ne sont pas visibles pour les personnes mal intentionnées. En théorie, HTTPS répond aux deux questions. En réalité, nous devons encore être vigilants.

L'adoption HTTPS et les problèmes qui en découlent

Pendant des années, les experts en sécurité ont exhorté les opérateurs de sites Web à passer au HTTPS, mais leurs appels tombaient dans l'oreille d'un sourd, et la raison était simple: l'argent. Les certificats SSL étaient plutôt chers et étaient principalement achetés par des sites de commerce électronique. Les choses ont changé il y a deux ans et un peu lorsqu'une nouvelle autorité de certification appelée Let's Encrypt est apparue. Contrairement aux autres autorités de certification, Let's Encrypt propose des certificats SSL gratuitement, et le processus est également complètement automatisé, ce qui signifie que l'adoption de HTTPS ne prend que quelques minutes et exactement 0 $.

Le problème est que le service de sites Web via une connexion sécurisée est désormais plus simple pour les entreprises en ligne légitimes et les criminels. En conséquence, les experts ont vu de plus en plus de pages de phishing avec des certificats SSL. Et cela signifie que le cadenas vert ne peut plus être considéré comme un indicateur fiable d'une page Web fiable et sécurisée. Néanmoins, le fait que le nombre de sites Web HTTPS ait augmenté est une bonne chose. Mieux encore, il continuera probablement d'augmenter.

Les performances de référencement des sites Web servis via une connexion non sécurisée seraient plus faibles et, bientôt, Google Chrome étiquettera tous les sites Web HTTP comme «non sécurisés», pas seulement ceux qui ont un formulaire de connexion. En d'autres termes, HTTPS devient la norme, pas l'exception. Si nous voulons un World Wide Web plus sûr, c'est une étape très importante.