Le HTTPS vous protège-t-il contre toutes les formes de menaces en ligne ?
Le petit cadenas affiché dans la barre d’adresse d’un navigateur, indiquant qu'un site utilise le protocole HTTPS, est généralement perçu comme un gage de sécurité. Mais peut-on vraiment le considérer comme une assurance tous risques ? Dans quelle mesure vous protège-t-il ? Décryptage.
Internet regorge de menaces en tout genre, faisant de la sécurité l’une des préoccupations majeures de la plupart des internautes. L’un des réflexes les plus répandus consiste à vérifier le petit cadenas près de la barre d’adresse avant de transmettre de données sensibles, comme des informations bancaires. C’est une précaution utile, mais pas suffisante dans toutes les situations.
C’est quoi le HTTPS ?
Le HTTPS est la version sécurisée du HTTP (Hypertext Transfer Protocol), qui est un protocole utilisé pour l’échange de données entre votre navigateur et les serveurs des sites et applications web.
Dans sa version non sécurisée, ce protocole envoie et reçoit des données en clair. En d’autres termes, les informations transmises peuvent être facilement interceptées à différentes étapes de leur parcours, que ce soit sur le réseau local ou sur Internet.
Avec le HTPPS, les données sont chiffrées, ce qui empêche quiconque de lire leur contenu pendant leur transmission.
Comment fonctionne le HTTPS ?
Le HTTPS repose sur le protocole TLS (anciennement SSL), qui ajoute une couche de chiffrement au HTTP. En d’autres termes, les échanges entre votre navigateur et les sites web sont protégés par un système de clé de chiffrement.
À la différence d’un VPN qui chiffre l’ensemble de votre trafic, le HTTPS se limite aux sites web que vous visitez lorsque ceux-ci disposent d’un certificat TLS. Ce certificat est délivré et vérifié par une autorité de certification qui garantit que le site web est conforme à celui que vous avez renseigné dans votre barre d'adresse et que vous n’êtes pas redirigé vers un serveur frauduleux.
Le second rôle du certificat est d’assurer l’échange sécurisé des clés de chiffrement entre votre navigateur et le serveur du site web. Avec ce mécanisme, vos données transmises en ligne sont protégées, car elles deviennent illisibles, même quand elles sont interceptées par des personnes ou entités non autorisées.
Quelles données sont protégées ?
Sans la couche de chiffrement du HTTPS, toutes vos données sont envoyées en clair sur le réseau. N’importe quel tiers peut donc les lire : FAI, espions, pirates, organismes de surveillance, etc.
Voici les types de données qui sont chiffrées entre votre navigateur et les sites web :
- Identifiants de connexion: nom d’utilisateur, email, mots de passe
- Données personnelles d’identification: nom et prénoms, numéros de téléphone, date de naissance, adresse. Ces informations peuvent servir à une usurpation d’identité.
- Informations bancaires et de paiement: numéro de carte, code de sécurité, date d’expiration
- Contenu des messages et données de formulaires
Notez que ces données sont sécurisées seulement lors de leur transmission. Une fois sur le site que vous visitez, elles deviennent lisibles par le propriétaire ou l'administrateur du site.
Les limites du HTTPS
Même s’il offre un bon niveau de sécurité, le HTPPS présente des limites non négligeables. Comme évoqué précédemment, sa couverture se limite à la transmission des données entre votre navigateur et les sites web que vous visitez. Le HTTPS ne vous met donc pas à l’abri de toutes les formes de menaces en ligne.
Ce que le HTTPS ne protège pas :
- Les données transmises par vos autres applications, contrairement aux VPN qui chiffrent tout votre trafic.
- Il ne masque pas votre adresse IP.
- Il ne cache pas à votre FAI ou à d’autres tiers les sites que vous visitez.
- Ne protège pas contre la collecte de vos données: les informations que vous échangez avec un site sont lisibles par le propriétaire du site (messages, e-mails, mots de passe, etc.).
- Il ne vous protège pas contre les sites frauduleux: n’importe quel site peut disposer d’un certificat TLS, même un site d’arnaque.
- Ne protège pas contre le phishing: ne renseignez jamais des données sensibles sur un site, même en HTTPS, si vous n’êtes pas certain de sa fiabilité.
- Le HTTPS ne vous protège pas contre les malwares: si votre appareil est infecté par un virus ou un malware, vos données peuvent être volées avant même d’être transmises sur un site sécurisé.
Le HTTPS peut-il vous dispenser d’un VPN ?
Les VPN ne protègent que le trajet entre votre appareil et les sites que vous visitez, mais l'ensemble de votre trafic, contrairement au HTTPS.
Par ailleurs, ce dernier n’empêche pas votre FAI, les autorités ou les espions de voir votre adresse IP, ainsi que les sites vous visitez. Par contre, le VPN vous anonymise et rend vos activités réellement privées.
Enfin, ni le VPN ni le HTTPS ne garantit que les sites que vous visitez sont fiables, car n’importe qui peut obtenir un certificat TLS pour un site frauduleux.
Ces technologies ne contrôlent donc pas la manière dont vos données sont traitées une fois sur le site de destination. Toutefois, de plus en plus de VPN proposent des protections supplémentaires, notamment contre les sites frauduleux, les virus et malwares.
