7 choses que tu ignorais sur HTTPS
Le côté caché du protocole que tu crois maîtriser : le cadenas ment, le nom du site fuit, les autorités se font bannir.
6 min · 16 juillet 2026 · 4 min de lecture
En bref
HTTPS chiffre ta connexion, mais il ne dit presque rien sur la confiance. Derrière le cadenas : un nom de site qui fuit, des autorités qui se font bannir, un mode turbo rejouable, et une révocation qui ne marche pas. Sept faits, tous vérifiés et sourcés.
Chapitres
Tu vois le petit cadenas dans ton navigateur et tu penses : sécurisé. C'est le réflexe de tout le monde. Et c'est faux. HTTPS chiffre bien ta connexion, mais il ne dit presque rien sur la confiance, sur l'identité, ou sur ce qui fuit encore en clair. Voilà sept certitudes qui vont tomber.
1. Le cadenas ne veut pas dire « sûr »
Le cadenas ne prouve qu'une chose : la connexion est chiffrée. Pas que le site est honnête. La preuve la plus gênante : presque tous les sites de phishing sont en HTTPS, et affichent donc ce même cadenas. En 2023, Chrome a fini par le retirer, remplacé par une icône neutre, parce que trop de gens le lisaient comme un gage de confiance.
89%
des internautes comprennent le cadenas de travers
source : Google, étude sur l'interface de sécurité, 2021
2. HTTPS cache ce que tu envoies — pas où tu vas
Imagine une lettre scellée dans une enveloppe : personne ne lit son contenu, mais l'adresse reste écrite dessus, en clair. HTTPS fait pareil. Le contenu est chiffré, mais le nom du site que tu visites part en clair dans un champ appelé le SNI — et ce, depuis 2003. Ton fournisseur d'accès, ton pare-feu, un censeur : tous peuvent voir où tu vas, même en HTTPS. Même TLS 1.3 laisse ce trou ouvert.
dig +short TYPE65 cloudflare.com3. N'importe quelle autorité peut certifier ton domaine
Ton navigateur ne vérifie pas les sites lui-même : il délègue à des dizaines d'autorités de certification. Le problème, c'est que chacune peut émettre un certificat valide pour n'importe quel domaine — le tien compris. Alors quand l'une dérape, tout le monde trinque.
Ce que tu crois
- Les autorités de certification sont des piliers fiables
- Seule l'autorité de ton site peut émettre son certificat
- Une fois de confiance, une autorité le reste
La réalité
- N'importe quelle autorité de confiance peut certifier n'importe quel domaine
- DigiNotar en a émis des faux avant de faire faillite (2011)
- Symantec puis Entrust ont été bannies par les navigateurs
→ Ta sécurité vaut celle de l'autorité la plus faible de la liste.
Quand une autorité saute
| Autorité | Année | Ce qui s'est passé |
|---|---|---|
| DigiNotar | 2011 | Piratée, elle émet de faux certificats Google, puis fait faillite en quelques semaines |
| Symantec | 2017-2018 | Distrustée par les navigateurs après des émissions abusives répétées |
| Entrust | 2024 | Chrome, Mozilla et Apple cessent de reconnaître ses nouveaux certificats |
4. Chaque certificat émis est public
La transparence des certificats est née juste après le fiasco DigiNotar. Le principe : chaque certificat de confiance est inscrit dans des registres publics, append-only, impossibles à falsifier. Depuis avril 2018, Chrome l'exige pour tout certificat. Résultat : tu peux voir, en temps réel, tous les certificats émis pour n'importe quel domaine — le tien, ou celui d'un concurrent.
curl https://crt.sh/?q=souba-it.com
# tous les certificats jamais émis pour ce domaine5. La vitesse de TLS 1.3 rouvre une faille
TLS 1.3 (2018) est un grand ménage : fini l'échange de clés RSA statique, confidentialité persistante obligatoire, handshake plus court et davantage chiffré. Voler la clé du serveur ne déchiffre plus le passé. Sauf que, pour accélérer les reconnexions, TLS 1.3 ajoute un mode zéro round-trip. Le client envoie des données dès le premier message. Rapide — mais rejouable.
the security properties for 0-RTT data are weaker
— RFC 8446 (TLS 1.3)
6. On peut te rétrograder en clair — mais l'attaque se meurt
Le SSL stripping, présenté par Moxie Marlinspike en 2009 : un attaquant se place entre toi et le site, intercepte ta toute première requête en HTTP, et te maintient en clair. Tu crois naviguer normalement ; lui lit tout. Ce qui l'a presque tuée tient en trois mécanismes.
- HSTS : après une première visite réussie, le navigateur force HTTPS (RFC 6797).
- La liste de préchargement (preload) : gravée dans le navigateur, elle protège dès le premier contact.
- Le mode HTTPS-first : les navigateurs modernes tentent HTTPS par défaut.
7. Révoquer un certificat volé ne le neutralise presque pas
Un certificat fuite, tu le révoques : il devrait devenir inutile. En théorie. En pratique, les navigateurs « échouent en douceur » — si la vérification de révocation ne répond pas, la connexion passe quand même. Un attaquant qui bloque cette vérification passe donc tranquillement.
Ce que tu crois
- Révoquer un certificat compromis le neutralise
- Le navigateur vérifie la révocation à chaque connexion
- Le bouton révoquer met fin au risque
La réalité
- Les navigateurs échouent en douceur : pas de réponse, ça passe
- Chrome a abandonné OCSP dès 2012, Let's Encrypt en 2025
- L'industrie raccourcit la vie des certificats à 47 jours (2029)
→ On ne répare plus la révocation : on fait expirer les certificats plus vite.
47jours
la durée de vie maximale d'un certificat public d'ici 2029
source : CA/Browser Forum, ballot SC-081v3, avril 2025
revocation is fundamentally broken
— discussions CA/Browser Forum
Durcir ton HTTPS en 6 réflexes
Si tu ne retiens qu'une chose de cette page, retiens cette liste.
- Ne prends jamais le cadenas pour un gage de confiance : regarde qui a émis le certificat.
- Active HSTS, et demande le préchargement (preload) pour tes domaines.
- Surveille les registres de transparence (crt.sh) pour repérer une émission non désirée.
- Passe en TLS 1.3, et n'active le 0-RTT que pour des requêtes idempotentes.
- Déploie ECH et le DNS chiffré (DoH) pour cesser de fuiter le nom de tes sites.
- Automatise le renouvellement : les certificats vont vivre 47 jours, pas un an.
À retenir
- →Le cadenas prouve le chiffrement, pas la fiabilité du site.
- →Le nom du site que tu visites fuit en clair (SNI) — jusqu'à ECH.
- →N'importe quelle autorité de confiance peut certifier ton domaine, et se faire bannir.
- →Chaque certificat émis est public : surveille ceux de ton domaine (Certificate Transparency).
- →Le mode 0-RTT de TLS 1.3 gagne en vitesse mais devient rejouable.
- →La révocation ne marche presque pas : l'industrie mise sur des certificats à vie courte.
Sources · la preuve
- [01] Google Chrome abandonne le cadenas HTTPS pour une icône « tune » The Register · theregister.com Retrait du cadenas (Chrome 117, 2023) ; presque tous les sites de phishing sont en HTTPS.
- [02] RFC 9849 — TLS Encrypted Client Hello (ECH) IETF · datatracker.ietf.org Chiffre le SNI, dernier champ en clair de TLS ; standardisé en 2026.
- [03] Good-bye ESNI, hello ECH Cloudflare · blog.cloudflare.com Le SNI en clair révèle le domaine visité ; ECH se déploie avec le DNS chiffré (DoH).
- [04] Entrust Certificate Distrust DigiCert · digicert.com Chrome, Apple et Mozilla cessent de trust Entrust pour les certificats émis après novembre 2024.
- [05] RFC 6962 — Certificate Transparency IETF · datatracker.ietf.org Registres publics append-only ; né après la compromission de DigiNotar.
- [06] crt.sh — Certificate Search Sectigo · crt.sh Recherche tous les certificats journalisés pour un domaine donné.
- [07] RFC 8446 — The Transport Layer Security (TLS) Protocol Version 1.3 IETF · rfc-editor.org Supprime le RSA statique ; les propriétés de sécurité du 0-RTT sont plus faibles (rejeu).
- [08] RFC 6797 — HTTP Strict Transport Security (HSTS) IETF · rfc-editor.org Force le navigateur à rester en HTTPS ; parade principale au SSL stripping.
- [09] OCSP Service Has Reached End of Life Let's Encrypt · letsencrypt.org Extinction des serveurs OCSP le 6 août 2025 ; bascule vers les CRL.
- [10] The Slow Death of OCSP Feisty Duck (Ivan Ristić) · feistyduck.com Révocation cassée (échec en douceur) ; vie des certificats réduite à 47 jours d'ici 2029.
