HTTP ou HTTPS : définition, comparaison & Conséquences pour la sécurité

HTTP est le protocole de transfert hypertexte qui permet à un navigateur (comme celui de votre ordinateur) d'obtenir des ressources d'un serveur (comme celui d'un site web). HTTPS est un formulaire sécurisé de ce protocole qui bloque certains types d'activités des pirates informatiques. 

Sur les 100 premiers sites classés par Google, 90 utilisent par défaut le protocole HTTPS. Les dix plus résistants passeront probablement à la vitesse supérieure, la sécurité et la protection de la vie privée devenant de plus en plus importantes pour les consommateurs et les entreprises.

Différence entre HTTP et HTTPS 

Les navigateurs et les serveurs s'appuient sur un protocole partagé pour se connecter et communiquer entre eux. Ce protocole est HTTP, c'est-à-dire le protocole de transfert hypertexte. 

Le protocole est sans état, ce qui signifie que l'IT se connecte dès que quelque chose le lui demande. Vous n'avez pas besoin de faire des pieds et des mains ni de faire quoi que ce soit de spécial pour que la technologie de l'information fonctionne. En fait, vous avez probablement utilisé le protocole HTTP pour accéder à cette page. 

Lorsque vous tapez l'adresse d'un site web, que vous tapiez ou non les lettres "http", votre terminal utilise le protocole pour dialoguer avec le serveur de destination. Une série de requêtes "get" via les protocoles HTTP permet à votre terminal de demander tous les éléments dont il a besoin pour charger une page web. 

Le protocole HTTP est à la base de l'internet, mais les utilisateurs ont rapidement constaté que leur communication n'était pas sécurisée. Dans les années 1990, Developer a créé le protocole HTTPS, qui s'appuie sur les avantages de son prédécesseur. 

Le protocole HTTPS comporte trois ajouts importants :

1. chiffrement : Au début d'une connexion, votre navigateur et un serveur établissent des clés session pour protéger les données en transit. 
2. Authentification : l' utilisateur obtient l'assurance qu'il se connecte réellement au serveur qu'il a demandé. 
3. Protection : Les données ne peuvent pas être modifiées en cours de route. 

À l'origine, le protocole HTTPS n'était utilisé que pour les transactions sensibles, y compris celles impliquant de l'argent. Mais aujourd'hui, les gens utilisent les technologies de l'information pour presque tout. 

La sécurité est la principale différence entre HTTP et HTTPS. Si vous n'utilisez pas la version la plus récente du protocole, toutes les données que vous communiquez à un site web (comme votre mot de passe ou votre numéro de sécurité sociale) sont exposées et lisibles par un pirate informatique. De même, un pirate informatique pourrait modifier tout ce que vous faites sur un site à votre insu, ou vous pourriez vous connecter au mauvais site. 

HTTP vs. HTTPS : avantages et limites

En tant que propriétaire ou responsable d'un site web, vous avez le choix de mettre en œuvre le nouveau protocole HTTPS ou de vous en tenir à l'ancien protocole HTTP. 

Les avantages du protocole HTTP sont les suivants

• Facilité d'administration. Vous n'avez pas besoin d'un certificat fantaisiste ou d'une preuve de propriété pour commencer. Vous pouvez créer votre site et commencer immédiatement. 
• Familiarité. Si votre site web est plus ancien, vous avez probablement utilisé le protocole HTTP. Si vous n'aimez pas l'idée de changer quelque chose qui fonctionne, vous risquez de résister au changement. 
• Fonds propres du site. Pour mettre en œuvre le protocole HTTPS, vous devrez rediriger toutes vos anciennes pages web vers les nouvelles versions. Cela pourrait avoir des conséquences (subtiles) sur votre visibilité dans les moteurs de recherche. 

Les limites de HTTP sont les suivantes :

• L'absence de vie privée. Comme nous l'avons mentionné, ce modèle expose complètement le trafic. 
• Mauvaise performance. Les moteurs de recherche comme Google utilisent HTTPS comme signal de classement. Même si votre site est ancien et qu'il a beaucoup de valeur, vos nouvelles pages risquent de ne pas être bien classées dans les pages de résultats des moteurs de recherche si elles n'utilisent pas le protocole HTTPS. 
• Déception des consommateurs. Les consommateurs avertis exigent des conversations sécurisées. C'est pourquoi les entreprises ont mis au point des outils tels que HTTPS Everywhere. Ces extensions pour Firefox, Chrome, et Opera bloqueront le chargement de tout site qui n'utilise pas HTTPS. 

Les avantages de HTTPS sont les suivants :

• Sécurité renforcée. Les visiteurs de votre site peuvent échanger des données en toute confiance. 
• Conformité. Si votre site accepte des informations sensibles (telles que des données de carte de crédit), votre environnement réglementaire peut vous obliger à utiliser HTTPS. 
• Assistance globale. Si les sites contenant de petites quantités de données sensibles sont protégés, leur travail profite également aux sites plus sensibles. L'amélioration de la sécurité sur chaque site dissuade les pirates de poursuivre leur travail. 

Les inconvénients de HTTPS sont les suivants :
 

• Savoir-faire technique. Pour migrer votre site d'un protocole à l'autre, vous devrez avoir des connaissances de base en codage (ou faire appel à quelqu'un qui en a).
• Renouvellement des documents. Vous devez obtenir un certificat de propriété et maintenir les technologies de l'information à jour pour garantir que votre site reste en ligne. Si vous sautez ces étapes, votre site risque de tomber en panne.

Passer de HTTP à HTTPS 

En tant que propriétaire d'un site web, il vous incombe d'assurer la sécurité des données de vos visiteurs. Et la plupart des organisations sont soumises à une forte pression pour migrer leurs sites vers les nouveaux protocoles afin de préserver la sécurité de l'environnement internet mondial. 

Mais passer de HTTP à HTTPS n'est pas aussi simple que d'appuyer sur un bouton. Les technologies de l'information se déroulent en trois étapes :

1. Certification : Vous devez obtenir un certificat fiable qui prouve que vous êtes le propriétaire du site web. Des sites comme Let's Encrypt vous permettent d'obtenir et de configurer ce certificat. Les renouvellements sont automatiques. 
2. Programmation : Vous devez installer ce certificat sur votre site (ou demander à votre hébergeur de le faire pour vous). Ensuite, vous devez rediriger toutes vos pages HTTP vers les nouvelles versions HTTPS. 
3. Notification : Toutes les personnes qui utilisent votre site (y compris vos équipes de marketing et de vente) doivent comprendre que vous faites quelque chose de nouveau. Ils doivent toujours utiliser l'adresse HTTPS lorsqu'ils établissent un lien vers votre site ou parlent des technologies de l'information. Vous devez également informer les moteurs de recherche comme Google que vous avez modifié votre site. (Sur Google, vous pouvez le faire via Google Search Console).

Votre site doit rendre toutes ses pages via HTTPS. En mélangeant les deux protocoles, vous exposez votre site à des attaques actives et passives. Certains développeurs placent les pages sensibles (comme les écrans de connexion) dans HTTPS, mais laissent le reste de la page s'afficher via HTTP. Ce n'est pas judicieux. 

Vous voulez en savoir plus sur le chargement des sites web ? Lisez notre blog sur le système de noms tbd. 

Références

Chiffrement HTTPS sur le web. Google. 

Comment Let's Encrypt a doublé le pourcentage de sites web sécurisés en quatre ans. (novembre 2019), Université du Michigan. 

HTTPS comme signal de classement. (août 2014). Google. 

HTTPS : partout. Electronic Frontier Foundation. 

Pourquoi HTTP pour tout. DSI fédéral. 

À propos de Let's Encrypt. Let's Encrypt. 

Comment déployer correctement HTTPS. (octobre 2020), Electronic Frontier Foundation.