Discussion :

[Coriolan]

Le web est devenu plus sûr grâce à la domination du HTTPS
Est-ce que vous êtes passés au HTTPS pour vos sites web ?

La sécurité a été toujours un élément clé du web, c’est pourquoi plusieurs acteurs cherchent à généraliser l’usage du HTTPS. Littéralement « protocole de transfert hypertexte sécurisé », il permet au visiteur de vérifier l'identité du site web auquel il accède, grâce à un certificat d'authentification émis par une autorité tierce, réputée fiable (et faisant généralement partie de la liste blanche des navigateurs internet). HTTPS est généralement utilisé pour les transactions financières en ligne : commerce électronique, banque en ligne, courtage en ligne, etc. Il est aussi utilisé pour la consultation de données privées, comme les courriers électroniques, par exemple.

Depuis que Snowden a révélé les agissements de la NSA et la vaste machine de surveillance dont est dotée l’administration américaine, la question du chiffrement du trafic d’internet est devenue plus cruciale que jamais. Désormais, tout le monde devrait passer au HTTPS le plus rapidement possible pour les raisons suivantes:

1. Tout le monde a droit à la confidentialité que ça soit dans le monde réel ou en ligne. Et sans le HTTPS, cela est tout simplement impossible. Vous êtes exposés à tout le monde, votre fournisseur d’accès internet, votre hébergeur, les grandes firmes et le gouvernement.

2. Le HTTPS ne pose plus un problème de performance, en réalité, HTTPS est devenu plus performant que le HTTP sur les nouveaux appareils et machines modernes.

3. En utilisant le HTTPS, personne ne pourra saboter le contenu présent sur votre navigateur internet. De nos jours, on rencontre de plus en plus de cas où les fournisseurs de contenu personnalisent activement les données qui vous sont livrées. Par exemple, si un Fai détecte une violation des droits d’auteur, il peut facilement insérer des bannières de publicité dans votre contenu du web, tout le contenu !

Grâce aux efforts pour la mise en avant du chiffrement du web, l’usage du HTTPS a doublé l’année dernière.

Les navigateurs internet ont également leur mot à dire dans cette tendance. L’équipe de sécurité de Google Chrome veut en finir avec les connexions non chiffrées en HTTP. À partir de janvier 2017, les sites exploitant les connexions en HTTP pour transmettre des mots de passe et des données bancaires seront marqués comme non sûrs. Le message d’alerte va s'afficher dans la barre des tâches pour informer l’utilisateur du danger qu’il encourt s’il continue à utiliser le site. En effet, un hacker peut techniquement intercepter la connexion et récupérer les données non chiffrées. En plus, les sites qui ne passeront pas au HTTPS seront pénalisés par Google dans les résultats de recherche.

Il y a encore quelques années, il fallait compter des dizaines d’euros voire parfois des centaines d’euros chaque année pour se doter d’un certificat HTTPS, un élément essentiel pour que le chiffrement marche sur n’importe quel site web. Ses certificats sont émis par des autorités qui exigeaient le renouvèlement cette somme chaque année pour s’assurer que le chiffrement est opérationnel.

Mais désormais les choses ont changé grâce à Let’s Encrypt, c’est une autorité de certification lancée le 3 décembre 2015 (Bêta Version Publique). Cette autorité fournit des certificats gratuits X.509 pour le protocole cryptographique TLS au moyen d'un processus automatisé destiné à se passer du processus complexe actuel impliquant la création manuelle, la validation, la signature, l'installation et le renouvèlement des certificats pour la sécurisation des sites internet. En septembre 2016, plus de 10 millions de certificats ont été délivrés. Cependant, puisque LE est une organisation sans but lucratif, elle compte sur le soutien des internautes.


Source : blog Codding Horror

Et vous ?

Qu'en pensez-vous ?

Voir aussi :

Edward Snowden : l'élection de Trump n'est pas notre premier souci, c'est la surveillance de masse qu'il faudrait remettre en cause

[e101mk2]

une technologie déjà dépasser par sa gourmandise en ressource (parce que il faut l'avoué HTTP commence à être hors concours par rapport aux protocoles binaires, sans parler des échanges de fichiers... alors avec sa surcouche....).
Les sites web ont besoin d'un protocole épurer qui peu répondre au exigences des besoins d'aujourd’hui hui et demain.

[gretro]

Oui, surtout pour les sites livrés dans le cadre de mon travail professionnel. J'étais en e-commerce jusqu'à récemment, et on s'était justement demandé comment on allait sécuriser la section transactionnelle du site et les sections informationelles. On s'est plutôt tourné vers une sécurité complète en HTTPS. On s'est même demandé si on devait activer HSTS. De plus, nos cookies sont HTTPS seulement, ce qui évite le vol de cookies lors d'une connexion non-sécurisée. Bref, oui. HTTPS all the way!

[champy]

Plus question de monter un site pro, une WebApps ou autre sans HTTPS mais il y avait quand même deux choses dans HTTPS :
- Le cryptage de la connexion
- La vérification de l'identité du détenteur du nom de domaine

Hors avec let's encrypt le deuxième n'existe pas, c'est très pratique car on a plus à payer des sommes astronomiques pour un cadenas vers dans un navigateur mais du coup la mention 'site de confiance' devrais être remplacé par site 'site crypté’. Perso j'utilise let's encrypt pour des projets pro sans soucis mais c'est uniquement dû à l'inertie de notre DSI sur la commande de 'vrai' certificat (la joie des grands groupes).

[_skip]

une technologie déjà dépasser par sa gourmandise en ressource (parce que il faut l'avoué HTTP commence à être hors concours par rapport aux protocoles binaires, sans parler des échanges de fichiers... alors avec sa surcouche....).
Les sites web ont besoin d'un protocole épurer qui peu répondre au exigences des besoins d'aujourd’hui hui et demain.

Euh pour info c'est pas parce que HTTP est un protocole texte que le contenu transmis (payload) est forcément du texte. C'est pas comme usenet où c'est passé en base64 ou en yenc. Donc là où tu économises avec un protocole binaire ce sont les en-têtes, ce qui n'est absolument pas le bottleneck dans 99% des cas. C'est plutôt au niveau de l'utilisation des connexions et du multiplexing qu'il y a pas mal à gagner.

[Dgamax]

C'est pour ça qu'il nous faut du HTTP/2 :p
Avec l'arrivé de let's encrypt, on vient de basculer l'ensemble de nos sites en HTTPS

[psychadelic]

Quand je vois un site comme celui de Richard Stallman => https://stallman.org/

Qui est quasiment du web des premières années, je me demande vraiment ce que le HTTPS peut bien servir....
QQ1 à une explication ?
Parce franchement je n'y vois aucun intérêt,
C'est un site purement statique, il n'utilise pas de Javascript, et encore moins de cookies, etc...

Quels sont les risques ?????

[psykokarl]

Quand je vois un site comme celui de Richard Stallman => https://stallman.org/

Qui est quasiment du web des premières années, je me demande vraiment ce que le HTTPS peut bien servir....

Le https permet chiffrer les données sur l'on envoie sur le net.
Aucune utilité pour ce qui est des pages statiques sans restriction d'accès. En revanche des qu'il est question d'envoyer des informations bancaires sur le net, ou d'envoyer son mot de passe utilisateur de developpez.com, le chiffrement présente l'avantage de ne pas divulguer d'informations critique à Eve qui ne manque pas une occasion d'écouter aux portes...

[fredoche]

Le https permet de chiffrer les échange de peer à peer.

Vu du point de vue français qui se croit libre de tout, mais qui comme tout bon américain est désormais susceptible de surveillance à tout niveau et sous toute forme par les personnes et les services qu'il élit et/ou rémunère par ses impôts, c'est quelque part réduire la probabilité de savoir quels sont les sujets qui l'intéressent et quelles sont les dangereuses idées subversives dont il s'enquiert.

utiliser https, ce n'est pas pour l'usager masquer quel peer échange avec quel peer, ou quelle IP échange avec quelle IP, c'est masquer le contenu de ces échanges.

Les idées, les opinions, les projets qu'exprime et que défend Richard Stallman sont pour beaucoup, y compris dans son propre pays, des idées dangereuses.

Parler de liberté, de démocratie, s'y intéresser... sont dans de nombreux pays du monde des actes profondément dangereux et engageant pour soi-même. Penser autrement, penser librement, cquérir de la connaissance et comprendre c'est parfois risquer sa vie.

Voilà quels sont les risques...

Au demeurant si vous lisez un peu l'anglais, et sans lire ce site en profondeur, lisez l'un des tous derniers articles de ce site :
https://stallman.org/articles/why-fe...veillance.html
--> pourquoi craindre la surveillance ?

Où l'on vous parle de votre vie privée, de votre intimité

De la science-fiction assurément