Qu’est-ce que SSL/TLS ?

À une époque où certaines de nos informations et transactions les plus importantes se déroulent en ligne, assurer la sécurité des interactions numériques est devenu essentiel.

Dans ce guide convivial pour débutants (qui n’a pas peur d’approfondir !), nous allons démystifier les systèmes de base qui fonctionnent en coulisses et que chaque propriétaire ou gestionnaire de site web doit connaître pour préserver la confidentialité des utilisateurs et la réputation de leur entreprise.

Qu’est-ce Que Le SSL ?

SSL signifie couche de sockets sécurisés. SSL est un protocole pour maintenir une connexion sécurisée et protéger les données sensibles afin de garantir la sécurité des utilisateurs d’internet pendant les transactions en ligne, les séquences de connexion, et plus encore.

Le SSL est utilisé dans d’autres processus, tels que la sécurisation des transferts de fichiers et la protection des applications d’email, mais nous parlerons principalement de son impact sur la sécurité internet car c’est là qu’il est le plus reconnu.

Qu’est-ce que le TLS ?

La sécurité de la couche de transport (TLS) est le successeur du SSL qui est en place aujourd’hui et gère les vulnérabilités encore plus efficacement.

Le SSL est-il obsolète ?

SSL a subi de nombreuses itérations depuis son introduction il y a des décennies, dans le but d’améliorer constamment la fonctionnalité et la sécurité. TLS n’est qu’une version plus sécurisée et plus actuelle de SSL.

En effet, SSL et TLS désignent la même chose. Cependant, au moment de la rédaction de cet article, SSL reste le terme le plus utilisé pour désigner le protocole, tu le verras donc encore souvent utilisé — et nous y ferons également souvent référence dans cet article.

À quoi ressemble SSL/TLS ?

Lorsqu’un certificat SSL/TLS (nous en parlerons plus tard) est en place et à jour sur un site web, tu devrais voir l’URL dans la barre d’adresse commencer par “HTTPS” au lieu de “HTTP”. Si tu ne vois pas l’URL complète, elle apparaîtra probablement si tu cliques dans la barre d’adresse. Certains navigateurs choisissent de la tronquer pour simplifier.

Tu devrais également voir une petite icône de cadenas vert — ou parfois d’autres couleurs selon le navigateur — précédant l’URL lorsque SSL/TLS est utilisé.

Que Fait SSL/TLS ?

SSL/TLS facilite une connexion sécurisée entre deux systèmes. Ceux-ci peuvent être un serveur et un client (par exemple, un site web marchand et un navigateur) ou deux serveurs.

SSL/TLS utilise le chiffrement et les paires de clés cryptographiques pour vérifier l’identité des systèmes et empêcher que les données soient partagées avec de mauvais acteurs.

Ces données incluent :

• Détails financiers tels que numéros de carte de crédit, informations bancaires, etc.
• Données à caractère personnel — nom complet, numéro de sécurité sociale, adresse, date de naissance, etc.
• Documents juridiques sensibles
• Dossiers médicaux privés
• Informations confidentielles telles que détails clients, secrets commerciaux, etc.
• Identifiants de connexion

Comment Fonctionnent SSL/TLS ? La Poignée de Main SSL

Avec tout le travail préparatoire effectué, plongeons dans le cœur du fonctionnement de SSL/TLS !

SSL/TLS fonctionne en chiffrant les données pendant la transmission pour empêcher les pirates d’y accéder lorsqu’elles circulent sur un réseau. Les noms, adresses, numéros de carte de crédit et autres informations potentiellement sensibles sont parmi les faits que SSL/TLS est utilisé pour protéger.

Voici un résumé basique de comment cela fonctionne :

1. Lorsqu’un utilisateur initie un processus protégé par SSL/TLS, comme un achat sur un site web, le client (le navigateur de l’utilisateur) envoie un paquet de salutation au serveur du site web. Ce paquet contient un message sur la transaction, le type TLS, les suites de chiffrement, et un « client random » qui est une chaîne de bytes aléatoires.
2. Le serveur reçoit ce message et répond avec son propre paquet de salutation, contenant une réponse au message, son certificat SSL/TLS, la suite de chiffrement, et un « server random » — une autre sélection de bytes aléatoires.
3. Le client procède à l’authentification du certificat SSL/TLS, ce qui prouve que le serveur est le service fiable qu’il prétend être (c’est-à-dire, pas un pirate). Ensuite, il envoie quelque chose appelé un « secret pré-maître » qui est codé avec la clé publique du certificat SSL/TLS. L’idée est que le serveur devrait avoir une clé privée, qui peut décoder ce message.
4. Si tout se passe bien, le serveur possède bien la clé privée associée au certificat SSL/TLS et peut décoder le secret pré-maître. Après cela, le serveur crée une clé de session et envoie les informations au client.
5. Maintenant, le client et le serveur envoient tous les deux un message de « fin » codé avec la clé de session. Cela indique qu’une session sécurisée est ouverte entre les deux et que toutes les données partagées pendant celle-ci doivent être sûres et sécurisées.

Cette procédure est souvent appelée la poignée de main SSL et elle se produit en quelques millisecondes.

Pourquoi SSL/TLS est-il important ?

La protection SSL/TLS est nécessaire sur les sites web pour de nombreuses raisons :

• Pour protéger les informations des utilisateurs
• Pour renforcer la confiance des clients dans la marque
• Pour valider la propriété du site web
• Pour empêcher les personnes et les programmes malveillants de créer une fausse version d’un site et de siphonner des informations sensibles

Chaque fois qu’un site web exige que les utilisateurs se connectent, demande des informations personnelles ou offre un accès à du contenu privé — sa capacité à préserver la confidentialité des utilisateurs est essentielle.

SSL/TLS contribue à la confidentialité des communications en ligne et rassure les visiteurs qu’un site web est fiable et sécurisé.

De plus, les principaux navigateurs vont étiqueter les sites web HTTP sans certificats SSL/TLS comme « non sécurisés ». Cela représente un immense signal d’alerte pour les visiteurs et peut rapidement les pousser à fermer la page pour essayer un autre site web. Aujourd’hui, les sites web qui n’investissent pas dans SSL/TLS risquent probablement de perdre du trafic et des revenus.

Dois-je Désactiver SSL/TLS ? Que Se Passe-t-il Si Je le Fais ?

En bref, en tant que propriétaire ou administrateur de site web, il est presque toujours préférable d’utiliser SSL/TLS plutôt que de ne pas l’utiliser.

Et cela est vrai même si tu ne collectes aucune information utilisateur sur ton site web.

Non seulement le SSL/TLS est essentiel pour la sécurité des données comme nous l’avons mentionné à de nombreuses reprises — il est également utile pour empêcher que votre site web soit copié par des acteurs malveillants et pour éviter ce message effrayant « Votre connexion n’est pas privée » qui peut faire fuir de nombreux utilisateurs.

À la fin de 2023, environ 85% des sites web utilisent le SSL/TLS pour sécuriser leur statut HTTPS.

Qu’est-ce qu’un certificat SSL ?

Maintenant, approfondissons un peu le concept de certificat SSL/TLS — que nous réduirons à certificat SSL à partir de maintenant — que nous avons introduit précédemment.

Un certificat SSL est un certificat numérique délivré par une autorité de certification (CA). Son rôle est de lier l’identité du site web auquel il a été délivré à une paire de clés cryptographiques — ce sont les clés publique et privée dont nous avons déjà parlé.

Outre le soutien des transactions sécurisées par ses clés, ces certificats sont également utiles pour informer les utilisateurs sur l’origine d’un site web et son propriétaire, afin qu’ils puissent eux-mêmes juger de sa fiabilité.

En tant qu’utilisateur, tu peux consulter les détails d’un certificat SSL en cliquant sur l’icône de cadenas dans la barre d’adresse. Les informations que tu peux voir ici peuvent inclure :

• Le nom de domaine pour lequel le certificat est destiné
• L’entreprise ou la personne à qui le certificat a été délivré, et par quelle autorité de certification
• La signature numérique de l’autorité de certification et la clé publique
• Quand le certificat a été émis et quand il expire

Si les informations du certificat semblent suspectes ou ne correspondent pas au site que tu visites, tu sais qu’il faut regarder de plus près avant de partager des informations personnelles.

5 Types De Certificats SSL

Il existe plusieurs types de certificats SSL, avec différents degrés de validation.

Certificat SSL à Validation Étendue (EV SSL)

Les certificats SSL à validation étendue (EV SSLs) représentent le niveau le plus élevé et la forme la plus coûteuse de certification SSL.

Pour obtenir ce niveau de sécurité, le demandeur doit passer par un processus de vérification d’identité. Il est généralement utilisé par les sites web qui hébergent des transactions par carte de crédit et collectent des informations sensibles. Avec un EV SSL, HTTPS et l’icône de verrouillage sont affichés dans la barre d’adresse à côté du nom et du pays de l’entreprise certifiée. Tous ces détails renforcent la fiabilité du site.

Certificat SSL à Validation d’Organisation (OV SSL)

Les certificats SSL validés par l’organisation (OV SSL) sont similaires aux SSL EV dans le processus de demande et les informations qu’ils affichent dans la barre d’adresse, ils représentent simplement un niveau de sécurité et un coût inférieurs.

Les SSL OV sont généralement utilisés par les sites web commerciaux ou publics pour montrer leur engagement à garder les informations confidentielles.

Certificat SSL Validé par Domaine (DV SSL)

Les certificats SSL validés par domaine (DV SSL) sont des certifications moins sécurisées et moins rigoureuses (et aussi moins coûteuses !) souvent utilisées par les blogs et autres sites d’information qui ne nécessitent pas de collecte de données ou de paiements en ligne.

Typiquement, le processus de validation ne demande aux propriétaires de site web que de confirmer leur propriété par email ou téléphone. Avec cette certification, la barre d’adresse affiche généralement seulement HTTPS et une icône de cadenas.

Certificat SSL Multi-Domaine (MD SSL)

Les certificats SSL multi-domaines (MD SSL) sont également appelés nom de sujet alternatif (SAN) et certificat de communication unifiée (UCC).

Un certificat SSL MD peut protéger plusieurs domaines de premier niveau ainsi que des sous-domaines — pense à en.domain.com, blog.domain.com, etc. Le nombre d’éléments qu’il couvrira est déterminé par l’autorité de certification qui l’émet.

Chaque propriété que tu souhaites protéger sous cette certification doit être définie au moment de l’émission. Pour en ajouter d’autres, le titulaire doit demander une mise à jour et une réémission par le CA. Cette précaution la rend plus sécurisée que l’option suivante.

Certificat SSL Wildcard

Les certificats SSL Wildcard fournissent une sécurité pour un domaine et un nombre illimité de sous-domaines qui lui sont attachés.

Pour les sites web comportant de nombreux sous-domaines, cela peut être un moyen rapide et économique de garantir que chaque section de ton site est automatiquement protégée par le chiffrement. L’inconvénient est que si un seul sous-domaine est compromis, les autres sous-domaines sous le même certificat Wildcard peuvent également être compromis.

Comment Obtenir Un Certificat SSL En 7 Étapes

Si tu es prêt à profiter de la sécurité qu’un certificat SSL peut offrir, ces étapes de base devraient aider la plupart des propriétaires de sites web à obtenir la documentation nécessaire :

1. Choisis Ton Niveau de Couverture SSL

Combien de domaines et de sous-domaines souhaites-tu sécuriser ? Quel niveau de sécurité as-tu besoin ? Utilise le guide ci-dessus sur les types de certificats SSL pour déterminer celui que tu recherches.

2. Générer Une Demande De Signature De Certificat

Une demande de signature de certificat (CSR) est un fichier crypté contenant des informations commerciales et de domaine ainsi que les clés privées et publiques dont votre CA aura besoin pour créer votre certificat.

La manière de générer un CSR dépend de la plateforme que tu utilises ou de l’hébergeur de site web que tu choisis. La plupart des hébergeurs permettent de créer un CSR via leur Panel d’administration. Voici comment les clients de DreamHost peuvent créer un CSR.

Si tu préfères essayer de gérer cette étape sans l’aide de l’hôte, ce guide peut t’aider à identifier les étapes spécifiques à suivre.

3. Achète Ton Certificat Auprès D’une Autorité De Certification

Ta prochaine étape est de rechercher une autorité de certification réputée auprès de laquelle acheter ton certificat SSL. Il y a de nombreuses options, y compris :

• letsencrypt.org
• sectigo.com
• verisign.com

Peu importe le fournisseur que tu choisis, son site web devrait te guider dans la sélection de ton type de certificat SSL, la soumission de ton CSR et la finalisation de ton achat.

Les clients de DreamHost peuvent obtenir un certificat SSL — gratuit ou payant — via le Panel client. Voir comment ici.

4. Validation Complète (Si Nécessaire)

Si tu as choisi un type de certificat hautement sécurisé qui nécessite de prouver ton identité et/ou la propriété de ton site web, ton autorité de certification te donnera les étapes à suivre pour fournir une validation.

5. Installe Ton Nouveau Certificat SSL

Si tout se passe comme prévu, tu devrais maintenant pouvoir télécharger les fichiers de certificat fournis par ton CA. Il est maintenant temps de l’installer sur ton site web.

Ceci est une autre étape qui peut varier considérablement en fonction de ta plateforme de site web, de ton fournisseur d’hébergement, et même du type de certificat que tu as choisi. Contacte ton fournisseur d’hébergement ou connecte-toi au Panel client de ton hébergeur et cherche quelque chose appelé “paramètres SSL/TLS” ou “gestionnaire SSL/TLS” et suis les étapes pour installer les fichiers que tu as téléchargés.

Ou, si tu préfères le faire par toi-même, DigiCert propose un autre guide pour t’aider à naviguer sur la plupart des plateformes.

Pour les utilisateurs de WordPress, l’installation de la certification SSL peut être gérée en utilisant un plugin comme Really Simple SSL. Les clients de DreamHost peuvent ajouter un certificat SSL tiers en suivant ces instructions.

Associé : Qu’est-ce qu’un Plugin ?

6. Teste Ton Installation SSL

Pour vérifier que ton certificat est correctement installé et fonctionne correctement, cherche sur Google l’expression « outil de vérification SSL » pour trouver une plateforme qui effectuera une analyse rapide pour toi. L’Autorité de Certification que tu as utilisée peut également avoir un outil de vérification SSL sur son site web.

7. Rediriger les URLs HTTP

Enfin, tu dois rediriger toutes les URLs HTTP vers des URLs HTTPS après avoir installé ton certificat SSL pour t’assurer que les utilisateurs accèdent uniquement à la version la plus sécurisée de ton site web.

DreamHost redirige automatiquement les visiteurs vers la version HTTPS de ton site une fois que tu as ajouté un certificat SSL, et d’autres hébergeurs de sites peuvent faire de même.

Si cela n’est pas une option pour toi et que tu dois mettre à jour ton serveur manuellement, nous avons des instructions pour accéder à un serveur Apache ou Nginx pour forcer une redirection ici.

Pour les utilisateurs de WordPress, si tu as utilisé un plugin d’installation SSL, il pourrait également inclure des services de migration HTTP vers HTTPS. Sinon, Redirection ou un autre plugin pourrait être d’une grande aide ici.

Associé : Qu’est-ce qu’une redirection ?

Les Certificats SSL Expireront-Ils ?

Oui, les certificats SSL expirent.

Selon le Certificate Authority/Browser Forum qui régule tout ce qui concerne les SSL, les certificats doivent expirer après environ 13 mois. Cette décision a été prise en réponse à Apple qui a annoncé qu’ils n’accepteraient plus les certificats ayant des périodes de validité de deux ans — ce qui était auparavant la norme. La date d’expiration du tien dépend de l’autorité de certification qui a fourni ton SSL.

La certification SSL expire en raison de la rapidité des changements sur Internet. Les réglementations affectant la collecte de données apparaissent et disparaissent, les entreprises et les sites web changent de propriétaires, et les anciennes paires de clés deviennent moins sécurisées à mesure que les pirates deviennent plus avancés. La recertification offre aux propriétaires de sites web l’opportunité de rafraîchir leur sécurité et aux autorités de certification le temps de réviser les informations attachées au certificat pour s’assurer de leur exactitude.

Lorsqu’un certificat SSL expire et que le site web n’est plus protégé par ce protocole de sécurité, le navigateur affichera un avertissement informant les utilisateurs que le site n’est pas sécurisé et qu’il faut procéder avec prudence.

Bien sûr, l’expiration d’un SSL ne survient pas sans prévenir. L’AC qui t’a délivré tes documents enverra une notification lorsqu’il sera temps de renouveler. Ils commencent généralement environ 90 jours avant l’expiration, et nous te recommandons d’agir dès que tu les reçois. Et assure-toi de t’inscrire pour que ces notifications soient envoyées à une adresse email que tu sais que tu vérifieras toujours et à laquelle tu auras accès.

Comment Renouveler Ton Certificat SSL

Avec de nombreux fournisseurs de certification SSL, les étapes pour rafraîchir ton certificat SSL sont les mêmes que pour en obtenir un pour la première fois. Tu devras donc générer un CSR, acheter un certificat SSL auprès d’un CA, compléter toute validation requise, et installer et tester ton certificat.

Cela dit, de nombreux fournisseurs SSL et hébergeurs de sites web commencent à automatiser autant que possible ce processus. Tu n’auras donc peut-être pas à suivre toutes les étapes à chaque fois — mais il est utile de savoir quel type de maintenance tu pourrais avoir à gérer lors de la prise en compte de la certification SSL et de l’entretien de ton site web.

En Relation : Comment Réparer les Problèmes SSL Courants dans WordPress 

Choisis Un Hébergeur Web Qui Renforce Tes Objectifs De Sécurité

Heureusement, sécuriser l’expérience utilisateur en ligne et inspirer confiance en votre marque avec une couverture SSL/TLS est un processus assez abordable. Cependant, cela ne signifie pas que chaque propriétaire de site web aura le désir ou le temps de non seulement trouver la meilleure option de certification SSL, mais aussi de l’installer et de la maintenir année après année.

Si tu préfères te concentrer sur l’aspect commercial, l’équipe de gestion de site web pro services de DreamHost peut soutenir tes objectifs de sécurité et d’expérience en gérant tout, des mises à jour mineures à la récupération après piratage, la migration de liens, et l’administration complète du site ainsi que sa surveillance.