Aller au contenu principal

Sécurité

HTTPS : Chrome et Firefox signalent désormais les formulaires non chiffrés

Publié le 3 min de lecture par

Si votre site a un espace client ou un formulaire de connexion servi en HTTP, vos visiteurs voient désormais un avertissement. Chrome 56 et Firefox 51, sortis en janvier, signalent ces pages comme non sécurisées.

Ce qui s’affiche

Chrome ajoute la mention « Non sécurisé » devant l’adresse. Firefox barre le cadenas en rouge et, depuis sa version 52, affiche un message directement sous le champ de mot de passe au moment de le remplir. Difficile de faire plus visible à l’endroit précis où le visiteur hésite.

Ce n’est qu’une étape. Google a annoncé en septembre dernier que toutes les pages en HTTP finiront par être marquées de la même façon, formulaire ou pas.

Ce que protège le HTTPS

En HTTP, tout ce qui circule entre le navigateur et le serveur passe en clair. Sur un Wi-Fi public, dans un hôtel ou chez un fournisseur peu scrupuleux, un tiers placé sur le trajet peut lire ce qui est envoyé (identifiants, coordonnées) et modifier ce qui est reçu (insérer une publicité, remplacer un lien de téléchargement). C’est l’attaque dite de l’homme du milieu.

Le HTTPS chiffre l’échange et garantit au visiteur qu’il parle bien au serveur attendu. Google en fait par ailleurs un critère de classement depuis 2014, léger mais réel.

Le certificat n’est plus une question de budget

Let’s Encrypt délivre depuis l’an dernier des certificats gratuits, reconnus par tous les navigateurs et renouvelés automatiquement. Pour un site vitrine ou une boutique, c’est suffisant. Les certificats payants à validation étendue (EV), qui affichent le nom de la société dans la barre d’adresse, restent une option pour qui veut ce signal, pas une condition de sécurité.

Réussir la bascule

  • Redirections 301 de chaque adresse HTTP vers son équivalent HTTPS.
  • Aucun contenu mixte : images, scripts et feuilles de style doivent tous être appelés en HTTPS.
  • Search Console : déclarer la version HTTPS et y soumettre le sitemap.
  • HSTS, une fois tout vérifié : le navigateur n’essaiera plus jamais la version non chiffrée, ce qui ferme la porte à l’interception de la toute première requête.

Menée dans cet ordre, la migration ne coûte rien en référencement.

Questions fréquentes

Pourquoi Chrome affiche-t-il « Non sécurisé » sur mon site ?

Depuis Chrome 56, toute page servie en HTTP qui contient un champ de mot de passe ou de carte bancaire est signalée comme non sécurisée.

Faut-il un certificat EV pour être en sécurité ?

Non. Un certificat standard, y compris gratuit comme ceux de Let’s Encrypt, chiffre les échanges de la même façon. L’EV ajoute seulement le nom de la société dans la barre d’adresse.

À quoi sert HSTS ?

L’en-tête HSTS indique au navigateur de toujours utiliser HTTPS pour le site, ce qui empêche un attaquant de forcer une connexion non chiffrée.

Sources

  1. Google Security Blog, « Moving towards a more secure web » (septembre 2016) security.googleblog.com
  2. Mozilla Security Blog, « Communicating the Dangers of Non-Secure HTTP » (janvier 2017) blog.mozilla.org
  3. Google Search Central, HTTPS comme signal de classement (2014) developers.google.com
  4. Let’s Encrypt letsencrypt.org

À lire aussi