Qu'est-ce qu'un certificat SSL ?
Un certificat SSL est un certificat numérique qui permet une communication sécurisée entre un site web et ses visiteurs. Il est utilisé pour chiffrer les données échangées entre le site et le navigateur de l'utilisateur, les protégeant ainsi d'un accès non autorisé. SSL signifie Secure Sockets Layer.
Un certificat SSL est un certificat numérique délivré par les Autorités de Certification (CA) aux sites web, authentifiant leur identité et permettant une connexion sécurisée entre les pages web et les navigateurs. Les certificats SSL inspirent confiance sur Internet car ils montrent aux utilisateurs que le trafic entre leur navigateur et un site web est chiffré.
Cette connexion sécurisée est indiquée par une icône de cadenas dans la barre d'adresse du navigateur et par le protocole “https” dans l'URL du site web. Les certificats SSL sont essentiels pour les transactions en ligne, telles que les achats e-commerce, car ils garantissent que les informations sensibles, telles que les détails de carte de crédit, sont transmises en toute sécurité. Il existe un danger que les certificats SSL créent un faux sentiment de sécurité, cependant, car les sites malveillants peuvent aussi obtenir des certificats SSL. Par exemple, on a observé une augmentation des sites de phishing qui ont obtenu des certificats Domain Validated (DV) de la part d'autorités qui ne modèrent pas les sites recevant des certificats. De plus, les certificats SSL ne peuvent protéger les sites des attaques malveillantes comme l'injection SQL ou les malwares.
Comment fonctionne un certificat SSL ?
Un certificat SSL fonctionne en utilisant des algorithmes de chiffrement pour chiffrer les données échangées entre un navigateur web et un site.
Lorsque les données sont chiffrées, il est presque impossible pour un acteur malveillant de les lire. Les exemples de données comprennent les mots de passe, les noms et les informations financières.
Voici le processus en cinq étapes pour comprendre comment fonctionne un certificat SSL :
- Un navigateur tente de se connecter à un site avec un certificat SSL.
- Le serveur du site envoie une copie de son certificat SSL au navigateur pour validation. La clé publique du site sur le certificat aidera à chiffrer les données lors de la session.
- Le navigateur valide le certificat pour s'assurer qu'il est authentique, non révoqué et non expiré. Après validation, le navigateur utilise la clé publique du serveur pour créer une clé symétrique chiffrée et l'envoie au serveur.
- Le serveur utilise sa clé privée pour déchiffrer la clé symétrique de session. Il indique qu'il est prêt à commencer une session de chiffrement en renvoyant une confirmation chiffrée avec la clé de session.
- Le navigateur et le site établissent maintenant une connexion sécurisée et chiffrée avec la clé de session.
Le processus complet est également appelé une poignée de main SSL et est presque instantané. Une fois que le certificat SSL sécurise la connexion :
- Une icône de cadenas apparaît sur la barre d'adresse du navigateur juste avant l'URL.
- L'URL est précédée par l'acronyme HTTPS (HyperText Transfer Protocol Secure).
Que comprennent les certificats SSL ?
-
Nom de domaine : Le ou les noms de domaine pour lesquels le certificat SSL est valide.
-
Détails de l'émission : L'appareil ou la personne à laquelle le certificat SSL a été émis et l'autorité de certification qui l'a émis.
-
Signature numérique : La signature numérique qui vérifie l'authenticité du certificat.
-
Dates : La date d'émission et d'expiration du certificat.
-
Clé publique : Un certificat SSL inclut une clé publique tandis que la clé privée est gardée secrète.
À quoi sert un certificat SSL ?
Un certificat SSL est utilisé pour créer une connexion sécurisée entre un navigateur et un site web. Le certificat aide à protéger tout échange de données entre un appareil et le serveur du site. En plus de chiffrer les connexions, les certificats SSL aident à garantir la sécurité des utilisateurs du site web. De plus, un certificat SSL aide à développer la confiance dans un site web.
Pourquoi ai-je besoin d'un certificat SSL pour mon site web ?
Un certificat SSL ne doit jamais être considéré comme le seul outil de cybersécurité pour un site web. Néanmoins, vous avez besoin d'un certificat SSL pour votre site web pour les raisons suivantes :
-
Protection des données : Un chiffrement SSL aide à sécuriser les données échangées entre votre site web et vos visiteurs contre les cybercriminels. Non seulement c'est bon pour les affaires, mais cela peut aider votre plateforme en ligne à se conformer aux lois sur la confidentialité.
-
Confiance : L'utilisateur moyen d'Internet se sentira plus en confiance en consultant votre site, sachant que le symbole du cadenas et l'acronyme HTTPS signifient une connexion sécurisée.
-
SEO : Les sites web avec des certificats SSL sont mieux classés dans les moteurs de recherche car ils sont perçus comme sécurisés. En fait, certains navigateurs signalent même que les sites HTTP ne sont pas sécurisés et avertissent les utilisateurs de ne pas les visiter.
Types de certificats SSL
Votre site web peut obtenir plusieurs types de certificats SSL différents. Chaque certificat a ses propres forces, processus de vérification, et coûts.
Certificats validés par le domaine (DV)
Les certificats DV ont tendance à être plus rentables que les certificats SSL EV ou OV. Bien qu'ils soient généralement les moins chers, ils ne fournissent qu'une vérification basique. Les certificats DV sont typiquement utilisés par des sites à faible risque, tels que les forums de discussion ou les pages de blogs.
Certificats de validation étendue (EV)
Un certificat de validation étendue implique le plus haut niveau de validation et est généralement le type de certificat SSL le plus coûteux. Les sites réputés offrant du shopping en ligne ou de l'e-commerce utilisent généralement ce type de certificat. En plus du symbole du cadenas, un certificat SSL EV affiche le nom de l'organisation et le pays dans la barre d'adresse.
Certificats validés par l’organisation (OV)
Comme les certificats EV, les certificats OV fournissent un niveau de validation supérieur par rapport aux certificats SSL DV. Les certificats OV affichent également les informations du propriétaire du site web dans la barre d'adresse.
Certificats SSL génériques
Un certificat SSL générique sécurise un domaine principal et un nombre illimité de sous-domaines sur un seul certificat. Les entreprises avec plusieurs sous-domaines sous un seul domaine ont tendance à obtenir ce type de certificat pour réduire les coûts.
Certificats SSL multi-domaines
Les certificats SSL multi-domaines vont plus loin que les certificats SSL génériques. Ils permettent à un seul certificat de sécuriser de nombreux domaines et sous-domaines. Ces types de certificats conviennent mieux aux organisations possédant plusieurs sites web.
Acheter un certificat SSL : Comment acheter un certificat SSL
Commencez par rechercher différents certificats SSL et choisissez celui qui correspond à vos besoins. Par exemple, si vous avez un seul domaine avec de nombreux sous-domaines, vous pourriez avoir besoin d'un certificat SSL générique. Sinon, vous pouvez opter pour un certificat DV pour votre page personnelle.
Après avoir choisi votre type de certificat, achetez votre certificat en consultant une liste d'Autorités de Certification (CA). Les certificats proposés par les Autorités de Certification varient en prix. Alors que certains certificats sont gratuits, d'autres peuvent coûter des centaines, voire des milliers de dollars.
Préparez votre serveur pour vous assurer que votre enregistrement WHOIS correspond à votre demande à votre CA. Ensuite, vous devrez générer une demande de signature de certificat (CSR). Votre CSR contiendra vos données et votre clé publique. Après avoir soumis votre CSR à votre CA, vous devrez peut-être fournir d'autres documents, comme une preuve de propriété de votre domaine.
Après avoir reçu les fichiers de certificat, vous pouvez installer votre SSL. Le processus dépend du type de serveur. Contactez votre fournisseur de site web pour de l'aide si nécessaire. Ensuite, vous devrez configurer votre site web pour utiliser HTTPS. Vous pouvez utiliser un vérificateur SSL pour vous assurer que votre certificat est authentique et correctement installé.
Renouveler un certificat SSL : Comment renouveler un certificat SSL
Les certificats SSL ont une date d'expiration. Planifiez à l'avance pour vous assurer que votre renouvellement SSL se fait à temps. Si vous tardez à renouveler, votre site web pourrait perdre son sceau de confiance.
Le processus de renouvellement d'un certificat SSL est similaire à l'achat d'un nouveau. Vous devrez générer un nouveau CSR et le soumettre à votre CA. Vous devrez également installer les fichiers de certificat SSL mis à jour sur votre serveur comme auparavant et vous assurer que votre certificat est correctement installé avec un vérificateur SSL.
Tarification des certificats SSL : Combien coûte un certificat SSL ?
Les certificats SSL varient considérablement en termes de prix. Alors que certains certificats SSL peuvent être obtenus gratuitement, les certificats SSL de niveau entreprise peuvent coûter des milliers de dollars par an. Le coût d'un certificat SSL est influencé par le nombre de domaines et de sous-domaines, le type de certificat, le niveau de sécurité, et la réputation de l'Autorité de Certification (CA).
TLS vs certificat SSL : La différence entre TLS et SSL
Bien que SSL (Secure Sockets Layer) et TLS (Transport Layer Security) soient tous deux des protocoles cryptographiques, TLS est la version mise à jour. TLS est considéré comme plus sécurisé et moderne, avec une meilleure poignée de main TLS. TLS est également rétrocompatible et peut se connecter à un serveur SSL.
Les termes « SSL » et « TLS » sont souvent utilisés de manière interchangeable sur Internet, bien que ce dernier remplace le premier. De nombreux émetteurs de certificats désignent même leurs certificats TLS comme certificats SSL.
Comment vérifier si un site dispose d'un certificat SSL
https://
Vérifiez si l'adresse du site web commence par l'acronyme « HTTPS ». HTTPS signifie Hyper-Text Transfer Protocol Secure.
Icône de cadenas
Un site web doté d'un certificat SSL doit avoir un cadenas dans la barre d'adresse. Vous pouvez cliquer sur le cadenas pour en savoir plus sur l'autorité de délivrance SSL, la date d'expiration et le propriétaire du site web.
Barre d'adresse verte
La barre d'adresse verte était un indicateur SSL pour les sites web avec des certificats SSL EV. Cependant, les principaux développeurs de navigateurs, comme Apple et Google, la considèrent maintenant obsolète.
Outils
Certains sites web et extensions de navigateur peuvent vérifier si un site web dispose d'un certificat SSL valide. Par exemple, vous pouvez entrer l'URL d'un site web dans SSL Shopper'sSSLChecker pour en savoir plus sur sa certification.
Qu'est-ce qu'une erreur de certificat SSL ?
Une erreur de certificat SSL peut survenir lorsqu'il y a un problème avec le certificat d'un site web. Une erreur de certificat SSL peut se produire pour plusieurs raisons. Certaines erreurs peuvent être dues à des raisons anodines, tandis que d'autres peuvent être causées par des facteurs malveillants. Il est préférable de faire preuve de prudence lorsqu'on ouvre un site web présentant une erreur de certificat SSL.
Certificat SSL expiré
Comme mentionné, les certificats SSL ont des dates d'expiration. Parfois, les propriétaires de sites web peuvent oublier de renouveler leur certificat SSL. Un certificat SSL expiré provoquera l'affichage d'un message d'erreur sur votre navigateur.
Certificat SSL non approuvé
Chaque navigateur peut accéder à une liste de fournisseurs de certificats SSL approuvés. Votre navigateur peut vous signaler qu'un certificat SSL d'un site web n'est pas fiable si l'autorité de délivrance du site ne figure pas sur la liste ou est suspecte. Par exemple, vous pouvez voir une erreur si le certificat a été auto-signé ou obtenu auprès d'un émetteur frauduleux.
SSL mal configuré
Après avoir obtenu un certificat SSL, le propriétaire du site doit l'installer et le configurer correctement. Un certificat SSL mal configuré peut entraîner une erreur pour le site web.
Nom non concordant
Les certificats SSL sont émis pour des domaines et sous-domaines spécifiques. Une discordance dans les enregistrements forcera un navigateur à afficher un message d'erreur.
Certificat SSL révoqué
Les émetteurs de certificats SSL peuvent révoquer un certificat avant sa date d'expiration si sa clé privée a été compromise ou si le domaine est fermé. Un site web peut également demander la révocation de son certificat. Quelle que soit la raison de la révocation du certificat SSL, il en résultera une erreur.
Les certificats SSL sont-ils gratuits ?
Bien que tous les certificats SSL ne soient pas gratuits, certains le sont effectivement. Les certificats SSL gratuits sont généralement des certificats Validés par Domaine (DV). Ils conviennent mieux aux pages personnelles ou aux petites entreprises. Les sites web plus grands devraient obtenir des certificats payants offrant une meilleure sécurité et plus de fonctionnalités que les certificats SSL DV.
Un site sans SSL peut-il être piraté ?
Un certificat SSL ne sécurise que la connexion entre un utilisateur et un site web. Un site web, avec ou sans certification SSL, peut être piraté de plusieurs manières. Les acteurs malveillants peuvent exploiter des vulnérabilités de sécurité, des identifiants de connexion faibles, un codage médiocre, des logiciels obsolètes et d'autres moyens pour pirater un site web.
Parmi les techniques de piratage de sites web, on trouve :
-
Injection SQL.
-
Cross-site scripting (XSS).
-
Attaques par force brute, comme cette attaque DDoS record.
-
Dépôts de logiciels malveillants.
-
Expéditions de phishing sur les employés du site.
Quelle est la durée de vie des certificats SSL
Il fut un temps où les certificats SSL pouvaient être émis avec une période d'expiration de cinq ans. Cependant, cette période a été ajustée plusieurs fois. Depuis fin 2020, un certificat SSL ne peut être émis pour plus de 13 mois.
Un certificat SSL signifie-t-il qu'un site est sûr à utiliser ?
Bien qu'un certificat SSL signifie que votre connexion à un site web est sécurisée, cela ne signifie pas nécessairement que le site web est sûr à utiliser. Par exemple, des sites web malveillants peuvent également obtenir certains types de certificats SSL, comme les certificats DV.
Bien que les sites web de phishing puissent détenir des certifications DV, ils sont conçus pour voler des informations confidentielles telles que des noms, des adresses, des mots de passe et des informations de carte de crédit. Les sites de phishing peuvent sembler légitimes mais peuvent contenir des erreurs grammaticales, des graphiques de mauvaise qualité, un design médiocre ou des offres trop belles pour être vraies.
En outre, les acteurs malveillants peuvent pirater des sites web légitimes avec des certificats SSL en utilisant divers outils et exploitations.
Voici quelques étapes qui peuvent vous aider à vérifier la sécurité d'un site web :
-
UtilisezMalwarebytes Browser Guard pour bloquer les pages web contenant des malwares, escroqueries et autres contenus malveillants.
-
Souscrivez à un service de Réseau Privé Virtuel (VPN) pour crypter vos données et masquer votre adresse IP. Vous pouvez apprendre comment fonctionne le VPN pour crypter vos données et masquer votre localisation.
-
Assurez-vous que l'URL du site web est correctement orthographiée. Un site web de phishing avec un certificat SSL basique imitant Walmart.com peut avoir une adresse très similaire qui ne varie que par un ou deux caractères. Par exemple, au lieu de Walmart.com, il peut dire Walmert.com ou Walmrat.com.
-
Recherchez le signe de cadenas et l'acronyme HTTPS dans la barre d'adresse pour vous assurer qu'il dispose d'un certificat SSL. Au minimum, un site web avec un certificat SSL offre une connexion cryptée.
-
Cliquez sur le cadenas dans la barre d'adresse du navigateur pour vérifier l'identité du propriétaire du site et vérifier l'autorité de certification et la date d'expiration.
-
Recherchez la réputation du site web avec un vérificateur de sécurité de site web.
Un site web piraté ou de phishing peut également infecter votre système avec des logiciels malveillants. Obtenez une protection contre les logiciels malveillants pour vous assurer que vos ordinateurs et appareils sont exempts de logiciels malveillants. Suivez ces conseils de sécurité Internet pour plus de sécurité pour votre navigateur.