Qu'est-ce qu'un certificat SSL ?
Un certificat SSL est un certificat numérique qui permet une communication sécurisée entre un site web et ses visiteurs. Il est utilisé pour crypter les données échangées entre le site web et le navigateur de l'utilisateur, les protégeant ainsi d'un accès non autorisé. SSL est l'abréviation de Secure Sockets Layer (couche de sockets sécurisée).
Un certificat SSL est un certificat numérique délivré par les autorités de certification (AC) aux sites web, authentifiant leur identité et permettant une connexion sécurisée entre les pages web et les navigateurs web. Les certificats SSL inspirent la confiance sur l'internet car ils indiquent aux internautes que le trafic entre leur navigateur et un site web est crypté.
Cette connexion sécurisée est indiquée par une icône de cadenas dans la barre d'adresse du navigateur et par le protocole "https" dans l'URL du site web. Les certificats SSL sont essentiels pour les transactions en ligne, telles que les achats en ligne, car ils garantissent que les informations sensibles, telles que les données des cartes de crédit, sont transmises en toute sécurité. Les certificats SSL risquent toutefois de créer un faux sentiment de sécurité, car les sites web malveillants peuvent également obtenir des certificats SSL. Par exemple, on a constaté une augmentation du nombre de sites de phishing qui ont obtenu des certificats "Domain Validated" (DV) de la part d'autorités qui ne modèrent pas les sites qui obtiennent des certificats. En outre, les certificats SSL ne protègent pas les sites web contre les attaques malveillantes telles que les injections SQL ou les malwares.
Comment fonctionne un certificat SSL ?
Un certificat SSL fonctionne en utilisantchiffrement des algorithmes pour crypter les données échangées entre un navigateur web et un site web.
Lorsque les données sont cryptées, il est presque impossible pour un acteur de la menace de les lire. Les mots de passe, les noms et les informations financières sont des exemples de données.
Voici le processus en cinq étapes du fonctionnement d'un certificat SSL :
- Un navigateur tente de se connecter à un site web doté d'un certificat SSL.
- Le serveur du site web envoie une copie de son certificat SSL au navigateur pour validation. La clé publique du site web figurant sur le certificat permet de crypter les données au cours de la session.
- Le navigateur valide le certificat pour s'assurer qu'il est authentique, non révoqué et non expiré. Après validation, le navigateur utilise la clé publique du serveur pour créer une clé symétrique cryptée et l'envoyer au serveur.
- Le serveur utilise sa clé privée pour déchiffrer la clé de session symétrique. Il indique qu'il est prêt à démarrer une session chiffrement en renvoyant un accusé de réception crypté avec la clé de session.
- Le navigateur et le site web établissent alors une connexion sécurisée et cryptée avec la clé de session.
L'ensemble du processus est également appelé "poignée de main SSL" et est presque instantané. Une fois que le certificat SSL a sécurisé la connexion :
- Une icône de cadenas apparaît dans la barre d'adresse du navigateur juste avant l'URL.
- L'URL est précédée de l'acronyme HTTPS (HyperText Transfer Protocol Secure).
Que comprennent les certificats SSL ?
-
Nom de domaine : le ou les noms de domaine pour lesquels le certificat SSL est valable.
-
Détails de l'émission : L'appareil ou la personne à qui le certificat SSL a été délivré et l'autorité de certification qui l'a délivré.
-
Signature numérique : La signature numérique qui vérifie l'authenticité du certificat.
-
Les dates : Les dates d'émission et d'expiration du certificat.
-
Clé publique : Un certificat SSL comprend une clé publique tandis que la clé privée reste privée.
À quoi sert un certificat SSL ?
Un certificat SSL est utilisé pour créer une connexion sécurisée entre un navigateur et un site web. Le certificat permet de protéger tout échange de données entre un appareil et le serveur d'un site web. En plus de crypter les connexions, les certificats SSL contribuent à protéger la sécurité des utilisateurs du site web. En outre, un certificat SSL contribue à développer la confiance dans un site web.
Pourquoi ai-je besoin d'un certificat SSL pour mon site web ?
Un certificat SSL ne doit jamais être considéré comme le seul outil de cybersécurité d'un site web. Néanmoins, vous avez besoin d'un certificat SSL pour votre site web pour les raisons suivantes :
-
Protection des données: Un certificat SSL chiffrement permet de sécuriser les données échangées entre votre site web et vos visiteurs contre les cybercriminels. C'est non seulement bon pour les affaires, mais cela peut aussi aider votre plateforme en ligne à se conformer aux lois sur la protection de la vie privée.
-
La confiance: L'internaute moyen se sentira plus en confiance en naviguant sur votre site web, sachant que le signe du cadenas et l'acronyme HTTPS signifient une connexion sécurisée.
-
RÉFÉRENCEMENT: Les sites web dotés de certificats SSL sont mieux classés dans les moteurs de recherche car ils sont perçus comme sûrs. En fait, certains navigateurs signalent même les sites web http et avertissent les utilisateurs de ne pas les visiter, car ils ne sont pas sécurisés.
Types de certificats SSL
Votre site web peut obtenir différents types de certificats SSL. Chaque certificat a ses propres atouts, ses propres processus de vérification et ses propres coûts.
Certificats validés par domaine (DV)
Les certificats DV sont généralement plus économiques que les certificats SSL EV ou OV. Bien qu'ils soient généralement les moins chers, ils ne fournissent qu'une vérification de base. Les certificats DV sont généralement utilisés par les sites web à faible risque, tels que les forums de discussion ou les pages de blog.
Certificats de validation étendue (EV)
Un certificat à validation étendue implique le niveau de validation le plus élevé et est généralement le type de certificat SSL le plus cher. Les sites web renommés qui proposent des achats en ligne ou du commerce électronique utilisent généralement ce type de certificat. Outre le cadenas, un certificat SSL EV affiche le nom de l'organisation et le pays dans la barre d'adresse.
Certificats validés par l'organisation (OV)
Comme les certificats EV, les certificats OV offrent un niveau de validation plus élevé que les certificats SSL DV. Les certificats OV affichent également les informations relatives au propriétaire du site web dans la barre d'adresse.
Certificats SSL Wildcard
Un certificat SSL Wildcard sécurise un domaine principal et un nombre illimité de sous-domaines sur un seul certificat. Les entreprises qui ont plusieurs sous-domaines sous un seul domaine ont tendance à obtenir ce type de certificat pour réduire les coûts.
Certificats SSL multi-domaines
Les certificats SSL multi-domaines vont plus loin que les certificats SSL Wildcard. Ils permettent à un seul certificat de sécuriser de nombreux domaines et sous-domaines. Ces types de certificats conviennent mieux aux organisations disposant de plusieurs sites web.
Acheter un certificat SSL : Comment acheter un certificat SSL
Commencez par rechercher différents certificats SSL et choisissez celui qui correspond à vos besoins. Par exemple, si vous avez un seul domaine avec de nombreux sous-domaines, vous aurez peut-être besoin d'un certificat SSL Wildcard. Vous pouvez également opter pour un certificat DV pour votre page personnelle.
Après avoir choisi votre type de certificat, achetez-le en consultant la liste des autorités de certification (AC). Les certificats des autorités de certification varient en fonction de leur prix. Si certains sont gratuits, d'autres peuvent coûter des centaines, voire des milliers d'euros.
Préparez votre serveur pour vous assurer que votre enregistrement WHOIS correspond à votre demande auprès de votre autorité de certification. Ensuite, vous devrez générer une demande de signature de certificat (CSR). Votre CSR contiendra vos données et votre clé publique. Après avoir soumis votre CSR à votre autorité de certification, vous devrez peut-être fournir d'autres documents, tels que la preuve de la propriété de votre domaine.
Après avoir reçu les fichiers de certificat, vous pouvez installer votre SSL. La procédure dépend de votre type de serveur. Si vous avez besoin d'aide, contactez votre fournisseur de site web. Ensuite, vous devrez configurer votre site web pour qu'il utilise le protocole HTTPS. Vous pouvez utiliser un vérificateur SSL pour vous assurer que votre certificat est authentique et installé correctement.
Renouveler un certificat SSL : Comment renouveler un certificat SSL
Les certificats SSL ont une date d'expiration. Planifiez à l'avance le renouvellement de votre certificat SSL pour qu'il soit effectué à temps. Si vous tardez à le faire, votre site web risque de perdre son sceau de confiance.
Le processus de renouvellement d'un certificat SSL est similaire à l'achat d'un nouveau certificat. Vous devrez générer une nouvelle CSR et la soumettre à votre autorité de certification. Vous devrez également installer les fichiers du certificat SSL mis à jour sur votre serveur comme auparavant et vous assurer que votre certificat est correctement installé à l'aide d'un vérificateur SSL.
Prix des certificats SSL : Combien coûte un certificat SSL ?
Les prix des certificats SSL varient considérablement. Alors que certains certificats SSL peuvent être obtenus gratuitement, les certificats SSL de niveau entreprise peuvent coûter des milliers de dollars par an. Le coût d'un certificat SSL dépend du nombre de domaines et de sous-domaines, du type de certificat, du niveau de sécurité et de la réputation de l'autorité de certification (AC).
Certificat TLS ou SSL : La différence entre TLS et SSL
SSL (Secure Sockets Layer) et TSL (Transport Layer Security) sont tous deux des protocoles cryptographiques, mais TLS en est la version actualisée. TLS est considéré comme plus sûr et plus moderne, avec une meilleure prise de contact TLS. TLS est également rétrocompatible et peut se connecter à un serveur SSL.
Les termes "SSL" et "TLS" sont souvent utilisés de manière interchangeable sur l'internet, même si le second remplace le premier. De nombreux émetteurs de certificats appellent même leurs certificats TLS des certificats SSL.
Comment vérifier si un site dispose d'un certificat SSL ?
https://
Vérifiez que l'adresse du site commence par l'acronyme "HTTPS". HTTPS est l'abréviation de Hyper-Text Transfer Protocol Secure.
Icône de cadenas
Un site web doté d'un certificat SSL doit présenter un cadenas dans la barre d'adresse. Vous pouvez cliquer sur le cadenas pour en savoir plus sur l'autorité émettrice du certificat SSL, la date d'expiration et le propriétaire du site web.
Barre d'adresse verte
La barre d'adresse verte était un indicateur SSL pour les sites web dotés de certificats SSL EV. Cependant, les principaux développeurs de navigateurs, comme Apple et Google, la considèrent désormais comme obsolète.
Outils
Certains sites web et extensions de navigateur peuvent vérifier si un site web dispose d'un certificat SSL valide. Par exemple, vous pouvez entrer l'URL d'un site web dans SSL Shopper'sSSLChecker pour en savoir plus sur sa certification.
Qu'est-ce qu'une erreur de certificat SSL ?
Une erreur de certificat SSL peut se produire lorsqu'il y a un problème avec le certificat d'un site web. Une erreur de certificat SSL peut se produire pour de multiples raisons. Si certaines erreurs peuvent être dues à des raisons inoffensives, d'autres peuvent être dues à des facteurs malveillants. Il est préférable de procéder avec prudence lorsque vous ouvrez un site web qui présente une erreur de certificat SSL.
Certificat SSL expiré
Comme nous l'avons mentionné, les certificats SSL ont des dates d'expiration. Il arrive que les propriétaires de sites web oublient de renouveler leur certificat SSL. Un certificat SSL expiré entraîne l'affichage d'un message d'erreur dans votre navigateur.
Le certificat SSL n'est pas approuvé
Chaque navigateur peut accéder à une liste de fournisseurs de certificats SSL de confiance. Votre navigateur peut vous indiquer que le certificat SSL d'un site web n'est pas fiable si l'autorité émettrice du site web ne figure pas sur la liste ou est suspecte. Par exemple, vous pouvez voir une erreur si le certificat a été auto-signé ou obtenu auprès d'un émetteur frauduleux.
SSL mal configuré
Après avoir obtenu un certificat SSL, le propriétaire d'un site web doit l'installer et le configurer correctement. Un certificat SSL mal configuré peut entraîner une erreur pour le site web.
Inadéquation des noms
Les certificats SSL sont émis pour des domaines et sous-domaines spécifiques. Si les enregistrements ne correspondent pas, le navigateur affichera un message d'erreur.
Certificat SSL révoqué
Les émetteurs de certificats SSL peuvent révoquer un certificat avant sa date d'expiration si sa clé privée a été compromise ou si le domaine est fermé. Un site web peut également demander la révocation de son certificat. Quelle que soit la raison pour laquelle le certificat SSL a été révoqué, il en résultera une erreur.
Les certificats SSL sont-ils gratuits ?
Si tous les certificats SSL ne sont pas gratuits, certains le sont en effet. Les certificats SSL gratuits sont généralement des certificats Domain Validated (DV). Ils conviennent mieux aux pages personnelles ou aux petites entreprises. Les sites web plus importants doivent obtenir des certificats payants qui offrent une meilleure sécurité et davantage de fonctionnalités que les certificats SSL DV.
Un site web sans SSL peut-il être piraté ?
Un certificat SSL ne fait que sécuriser la connexion entre un utilisateur et un site web. Un site web avec ou sans certificat SSL peut être piraté de différentes manières. Les acteurs de la menace peuvent exploiter des failles de sécurité, des identifiants de connexion faibles, un mauvais codage, des logiciels obsolètes et d'autres moyens pour pirater un site web.
Les techniques de piratage de sites web comprennent
-
Injection SQL.
-
Scripting intersite (XSS).
-
Les attaques par force brute comme cetteattaque DDoS qui bat tous les records.
-
Baisse des malwares.
-
Les expéditions d'hameçonnage sur les employés des sites web.
Quelle est la durée de vie des certificats SSL ?
Il fut un temps où les certificats SSL pouvaient être émis avec une période d'expiration de cinq ans. Cette période a toutefois été adaptée à plusieurs reprises. Depuis fin 2020, un certificat SSL ne peut être émis pour plus de 13 mois.
Un certificat SSL signifie-t-il que l'utilisation d'un site web est sûre ?
Bien qu'un certificat SSL signifie que votre connexion à un site web est sécurisée, cela ne signifie pas nécessairement que le site web est sûr à utiliser. Par exemple, des sites web malveillants peuvent également obtenir certains types de certificats SSL, tels que les certificats DV.
Bien que les sites de phishing puissent contenir des certifications DV, ils sont conçus pour voler des informations confidentielles telles que des noms, des adresses, des mots de passe et des informations sur les cartes de crédit. Les sites de phishing peuvent sembler légitimes, mais ils peuvent contenir des erreurs grammaticales, des graphiques de mauvaise qualité, une mauvaise conception ou des offres qui semblent trop belles pour être vraies.
En outre, les acteurs de la menace peuvent pirater des sites web légitimes dotés de certificats SSL en utilisant différents outils et exploitations.
Voici quelques étapes qui peuvent vous aider à vérifier la sécurité d'un site web :
-
UtiliserMalwarebytes Browser Guard pour bloquer les pages web contenant des malwares, des escroqueries et d'autres contenus malveillants.
-
Abonnez-vous à un service de réseau privé virtuel (VPN) pour crypter vos données et masquer votreadresse IP. Vous pouvez apprendre comment leVPN fonctionne pour crypter vos données et masquer votre emplacement.
-
Assurez-vous que l'URL du site web est correctement orthographiée. Un site web d'hameçonnage avec un certificat SSL de base se faisant passer pour Walmart.com peut avoir une adresse très similaire qui ne varie que d'un ou deux caractères. Par exemple, au lieu de Walmart.com, il peut s'agir de Walmert.com ou Walmrat.com.
-
Recherchez le signe du cadenas et l'acronyme HTTPS dans la barre d'adresse pour vous assurer que le site dispose d'un certificat SSL. Au minimum, un site web doté d'un certificat SSL offre une connexion cryptée.
-
Cliquez sur le cadenas dans la barre d'adresse du navigateur pour vérifier l'identité du propriétaire du site web, ainsi que l'autorité de certification et la date d'expiration.
-
Recherchez la réputation du site web à l'aide d'un outil de vérification de la sécurité du site.
Un site web piraté ou d'hameçonnage peut également infecter votre système avec des malwares. Procurez-vous une protection contre les malwares pour vous assurer que vos ordinateurs et appareils sont exempts de malwares. Suivez ces conseils de sécurité sur Internet pour renforcer la sécurité de votre navigateur.