Le cadenas : ce qu'il dit et ce qu'il ne dit pas

Le cadenas affiché par ton navigateur est sans doute le symbole de sécurité le plus vu au monde. Il est aussi l'un des plus mal compris.

Le S de HTTPS

HTTP transmet tout en clair. Sur un réseau partagé — un Wi-Fi de gare, par exemple — n'importe qui peut lire ce qui passe :

HTTP    :  (navigateur) ---- (texte lisible) ----> (serveur)
HTTPS   :  (navigateur) ---- (texte chiffre) ----> (serveur)

HTTPS, c'est HTTP transporté dans TLS (Transport Layer Security), la couche qui chiffre et authentifie.

Les trois garanties

TLS apporte exactement trois choses :

• la confidentialité : un observateur ne lit pas le contenu ;
• l'intégrité : il ne peut pas le modifier sans être détecté ;
• l'authentification du serveur : tu parles bien à la machine du domaine affiché.

Cette troisième garantie est la plus précieuse et la plus oubliée. Sans elle, le chiffrement ne servirait à rien — tu aurais un tunnel parfaitement étanche vers un escroc.

Ce que le cadenas ne dit pas

Voici le contresens à éviter absolument : le cadenas ne dit rien de l'honnêteté du site.

Il atteste que la connexion vers exemple.com est chiffrée et que ce serveur est bien celui de exemple.com. Il ne dit pas que le site est légitime, que tes données y seront bien traitées, ni qu'il ne s'agit pas d'une imitation.

Un site de hameçonnage obtient un certificat valide en quelques minutes, gratuitement. Il aura son cadenas. La quasi-totalité des sites frauduleux sont aujourd'hui en HTTPS.

Ce qui reste visible

Même en HTTPS, un observateur du réseau apprend certaines choses : le nom du domaine que tu visites, les volumes échangés, les horaires. Il ne voit ni les pages précises, ni les formulaires, ni les mots de passe.

Autrement dit : TLS protège le contenu, pas le fait que la conversation a lieu.