Passer au contenu principal

🔒 Qu'est-ce que HTTPS et SSL/TLS ?

📖 Définition​

HTTPS (HyperText Transfer Protocol Secure) est un protocole qui ajoute une couche de sécurité à HTTP. SSL (Secure Sockets Layer) et TLS (Transport Layer Security) sont des protocoles qui chiffrent la communication Internet, TLS étant le successeur de SSL. Ils chiffrent les données transmises entre les sites web et les utilisateurs pour un transfert sécurisé.

🎯 Comprendre avec une Analogie​

Courrier Normal vs Courrier Recommandé​

  • HTTP : Comme une carte postale où tout le monde peut lire le contenu
  • HTTPS : Comme un courrier recommandé scellé que seul le destinataire peut ouvrir
  • Certificat SSL/TLS : Cachet de certification officiel sur le courrier

Si vous envoyez un mot de passe par courrier normal (HTTP), le personnel postal ou d'autres personnes peuvent le voir, mais un courrier recommandé scellé (HTTPS) ne peut être ouvert que par le destinataire.

⚙️ Fonctionnement​

1. Processus de Poignée de Main SSL/TLS​

1. Client → Serveur : "Je veux établir une connexion sécurisée"
   - Envoie la liste des méthodes de chiffrement supportées

2. Serveur → Client : "Voici mon certificat"
   - Envoie le certificat SSL/TLS et la clé publique

3. Client : Valide le certificat
   - Vérifie s'il est émis par une CA (Autorité de Certification) de confiance
   - Vérifie la validité du certificat

4. Client → Serveur : Crée une clé de session chiffrée
   - Chiffre la clé de session avec la clé publique du serveur et l'envoie

5. Serveur : Déchiffre la clé de session
   - Déchiffre la clé de session avec sa propre clé privée

6. Communication sécurisée commence
   - Toutes les données sont chiffrées avec la clé de session pour être transmises

2. Méthodes de Chiffrement​

Chiffrement Asymétrique (Poignée de Main)
├─ Clé publique : Chiffre les données
└─ Clé privée : Déchiffre les données

Chiffrement Symétrique (Communication Réelle)
└─ Clé de session : Chiffrement/déchiffrement rapide

💡 Exemples Réels​

Comparaison HTTP vs HTTPS​

// ❌ HTTP - Non sécurisé
// http://example.com/login
// Mot de passe envoyé en texte clair
POST /login
Content-Type: application/json

{
  "username": "user123",
  "password": "mypassword123"  // Tout le monde peut voir !
}

// ✅ HTTPS - Sécurisé
// https://example.com/login
// Toutes les données chiffrées
POST /login
Content-Type: application/json

{
  "username": "user123",
  "password": "mypassword123"  // Chiffré pendant la transmission
}

Vérifier le Certificat SSL/TLS​

En cliquant sur l'icône de cadenas dans le navigateur :

✅ Site sécurisé
- Émis pour : example.com
- Émis par : Let's Encrypt (CA de confiance)
- Valide : 2024-01-01 ~ 2024-12-31
- Chiffrement : TLS 1.3

⚠️ Attention nécessaire
- Certificat expiré
- Certificat auto-signé
- Le domaine du certificat et le domaine du site ne correspondent pas

Créer un Serveur HTTPS avec Node.js​

const https = require('https');
const fs = require('fs');

// Charger le certificat SSL/TLS
const options = {
  key: fs.readFileSync('private-key.pem'),    // Clé privée
  cert: fs.readFileSync('certificate.pem')     // Certificat
};

// Créer serveur HTTPS
https.createServer(options, (req, res) => {
  res.writeHead(200);
  res.end('Connexion HTTPS sécurisée !');
}).listen(443);

console.log('Serveur HTTPS en cours d\'exécution sur le port 443');

🤔 Questions Fréquentes​

Q1. Quelle est la différence entre SSL et TLS ?​

R : SSL est l'ancien protocole, TLS est la version améliorée plus récente. Cependant, on dit encore communément "certificat SSL" même si on utilise en réalité TLS.

SSL 1.0 (Non utilisé)
SSL 2.0 (Non utilisé)
SSL 3.0 (Non utilisé)
TLS 1.0 (Héritage)
TLS 1.1 (Héritage)
TLS 1.2 (Actuellement utilisé) ✅
TLS 1.3 (Plus récent, plus sûr) ✅

Q2. Pourquoi tous les sites devraient utiliser HTTPS ?​

R : HTTPS protège ce qui suit :

1. Confidentialité
   └─ Les tiers ne peuvent pas voir les données

2. Intégrité
   └─ Garantit que les données ne sont pas altérées en transit

3. Authentification
   └─ Prouve que le site accédé est authentique

4. Avantages SEO
   └─ Google donne des points bonus aux sites HTTPS

Q3. Qu'est-ce que Let's Encrypt ?​

R : Une Autorité de Certification (CA) qui émet des certificats SSL/TLS gratuits.

# Installation auto avec Certbot
sudo certbot --nginx -d example.com

# Renouvellement auto (tous les 90 jours)
sudo certbot renew --dry-run

Q4. Qu'est-ce que l'avertissement de Contenu Mixte ?​

R : Avertissement de sécurité lors du chargement de ressources HTTP sur une page HTTPS.

<!-- ❌ Contenu Mixte - Avertissement de sécurité -->
<html>
  <head>
    <!-- Page HTTPS -->
  </head>
  <body>
    <!-- Chargement image HTTP - Avertissement ! -->
    <img src="http://example.com/image.jpg">

    <!-- Script HTTP - Bloqué ! -->
    <script src="http://example.com/script.js"></script>
  </body>
</html>

<!-- ✅ Méthode correcte -->
<html>
  <body>
    <!-- Utiliser HTTPS -->
    <img src="https://example.com/image.jpg">

    <!-- Ou utiliser URL relative au protocole -->
    <img src="//example.com/image.jpg">
  </body>
</html>

Q5. HTTPS est-il plus lent ?​

R : Par le passé oui, mais le TLS 1.3 moderne et l'accélération matérielle rendent la différence négligeable.

Poignée de main TLS 1.2 : 2-RTT (temps d'aller-retour)
Poignée de main TLS 1.3 : 1-RTT
Reconnexion TLS 1.3 : 0-RTT (connexion instantanée !)

+ HTTP/2 ne supporte que HTTPS → En fait plus rapide

🎓 Prochaines Étapes​

Après avoir compris HTTPS, apprenez :

  1. Qu'est-ce que CORS ? (document en préparation) - Sécurité Web importante avec HTTPS
  2. Token JWT (document en préparation) - Méthode d'authentification sécurisée
  3. Qu'est-ce que DNS ? - Domaine et sécurité

Pratiquer​

# 1. Créer certificat auto-signé (pour développement)
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes

# 2. Exécuter serveur HTTPS
node https-server.js

# 3. Vérifier dans le navigateur
# https://localhost (ignorer l'avertissement auto-signé et continuer)

🎬 Résumé​

HTTPS et SSL/TLS sont des technologies de sécurité essentielles pour le web moderne :

  • HTTPS : Protocole qui ajoute une couche de sécurité à HTTP
  • SSL/TLS : Protocoles de sécurité qui chiffrent les données
  • Certificat : ID numérique qui prouve l'identité du site web
  • Chiffrement : Technologie qui protège les données en toute sécurité

Tous les sites web devraient utiliser HTTPS pour protéger les utilisateurs. Grâce à Let's Encrypt, c'est maintenant facile à appliquer gratuitement ! 🔒✨