Quand quelqu'un envoie un formulaire sur un site en HTTP (et non HTTPS), ses données circulent sur Internet en clair. Toute personne sur le réseau entre lui et votre serveur peut voir ce qu'il a saisi, y compris des mots de passe, des numéros de carte bancaire et des adresses e-mail. Ce n'est pas théorique. Les outils d'écoute de paquets sont disponibles librement, et des pirates interceptent activement les envois de formulaires non chiffrés.
Le chiffrement SSL/TLS est la technologie qui protège les données d'un formulaire pendant leur trajet du navigateur du visiteur à votre serveur. C'est la forme la plus fondamentale de sécurité des formulaires, et elle n'est pas négociable.
Ce que vous allez apprendre : comment fonctionne le chiffrement HTTPS, la différence entre SSL et TLS, ce qu'est un certificat SSL et pourquoi il vous en faut un, comment vérifier que votre formulaire est bien chiffré et que faire si HTTPS ne fonctionne pas.
Qu'est-ce que HTTPS et comment chiffre-t-il les données ?
HTTPS est la version sécurisée de HTTP (Hypertext Transfer Protocol). Le « S » signifie Secure (sécurisé). HTTPS utilise SSL/TLS (Secure Sockets Layer / Transport Layer Security) pour chiffrer toutes les données échangées entre le visiteur et votre serveur.
Voici ce qui se passe quand un visiteur envoie un formulaire en HTTPS :
- Le visiteur remplit et envoie le formulaire. Son navigateur rassemble les données.
- Le navigateur établit une connexion chiffrée. Il contacte votre serveur et vérifie le certificat SSL (voir plus bas).
- Les deux parties s'accordent sur les paramètres de chiffrement. Elles négocient le chiffrement le plus fort que les deux prennent en charge.
- Toutes les données sont chiffrées avant l'envoi. Les données du formulaire sont brouillées avec le chiffrement négocié.
- Votre serveur reçoit les données chiffrées. Il utilise sa clé privée pour les déchiffrer et les rendre lisibles.
Pour quiconque écoute le réseau, les données ressemblent à des caractères aléatoires. Impossible de les lire sans la clé de chiffrement, que seul votre serveur possède.
La différence entre SSL et TLS
SSL (Secure Sockets Layer) et TLS (Transport Layer Security) sont des technologies liées qui font le même travail. SSL était la norme d'origine, publiée pour la première fois en 1995. TLS est la version moderne et améliorée qui l'a remplacée.
- SSL 3.0 : la dernière version de SSL, publiée en 1996. Dépassée et plus sûre du tout.
- TLS 1.0 : première version de TLS, publiée en 1999. Fonctionne encore mais ancienne.
- TLS 1.2 : publiée en 2008. Encore très utilisée et considérée comme sûre.
- TLS 1.3 : publiée en 2018. La norme actuelle, plus rapide et plus sûre.
Les navigateurs et serveurs modernes utilisent TLS 1.2 ou TLS 1.3. Quand on parle de « certificat SSL », on désigne en général un certificat utilisé pour le chiffrement TLS. Les termes sont souvent employés l'un pour l'autre, mais c'est TLS qui est la vraie technologie utilisée aujourd'hui.
Qu'est-ce qu'un certificat SSL ?
Un certificat SSL est un fichier numérique que votre serveur web utilise pour prouver son identité et établir une connexion chiffrée. Il contient :
- Votre nom de domaine : le domaine pour lequel le certificat est valide (www.example.com)
- Les informations de votre organisation : nom de l'entreprise, adresse, etc.
- Une clé publique : utilisée par les navigateurs des visiteurs pour chiffrer les données
- Une signature numérique : la preuve qu'une autorité de confiance a vérifié ce certificat
- Une date d'expiration : la date à laquelle le certificat expire et doit être renouvelé
Le certificat est comme une pièce d'identité numérique qui prouve que votre serveur est légitime.
Comment les certificats SSL sont vérifiés
Quand un visiteur ouvre votre site en HTTPS, son navigateur contrôle votre certificat SSL pour s'assurer qu'il est légitime :
- Votre serveur envoie son certificat. Le navigateur le reçoit.
- Le navigateur vérifie la signature numérique. Ce certificat est-il signé par une autorité de certification de confiance ?
- Le navigateur vérifie le domaine. Le certificat correspond-il au domaine visité ?
- Le navigateur vérifie la date d'expiration. Le certificat est-il encore valide ?
Si l'un de ces contrôles échoue, le navigateur affiche un avertissement. Si tout passe, le navigateur affiche une icône de cadenas (ou un indicateur de sécurité) qui indique au visiteur que la connexion est chiffrée et que le site est légitime.
Types de certificats SSL
Certificats à validation de domaine (DV)
Le certificat de base. L'autorité de certification vérifie que vous possédez le domaine mais ne vérifie pas votre organisation. L'option la moins chère. Convient à la plupart des formulaires.
Certificats à validation d'organisation (OV)
L'autorité vérifie à la fois le domaine et les informations de votre organisation. Plus cher que le DV, il inspire plus de confiance. Le navigateur affiche le nom de votre organisation dans les détails du certificat.
Certificats à validation étendue (EV)
L'autorité effectue une vérification poussée, y compris des contrôles juridiques. Le plus cher. Affiche le nom de l'organisation directement dans la barre d'adresse du navigateur. Surtout utilisé par les établissements financiers et les sites à haute sécurité.
Certificats génériques (wildcard)
Valables pour un domaine et tous ses sous-domaines (par exemple, un certificat générique pour *.example.com couvre mail.example.com, blog.example.com, etc.). Utile si vous avez de nombreux sous-domaines avec des formulaires.
Certificats multidomaines (SAN)
Valables pour plusieurs domaines différents dans un seul certificat. Utile si vous gérez plusieurs sites avec des formulaires.
Obtenir un certificat SSL
Autorités de certification
Vous achetez les certificats auprès d'autorités de certification (AC) comme :
- De grandes autorités de certification commerciales
- Des bureaux d'enregistrement de domaines qui revendent des certificats
- Des autorités spécialisées dans les certificats d'entreprise
- Des autorités gratuites très répandues
Les prix vont de gratuit (autorités gratuites) à plusieurs centaines de dollars par an (certificats EV).
Par votre hébergeur web
La plupart des hébergeurs modernes (dont WEMASY) incluent automatiquement des certificats SSL. Vous n'avez pas à les acheter ni à les gérer séparément. Ils s'occupent du renouvellement automatiquement.
Installation et renouvellement
Les certificats SSL expirent et doivent être renouvelés. La plupart des hébergeurs s'en chargent automatiquement. Vérifiez de temps en temps la date d'expiration de votre certificat pour vous assurer qu'il est toujours valide. S'il expire, votre site affiche un avertissement de sécurité et les visiteurs risquent de ne plus lui faire confiance.
Vérifier que votre formulaire est bien chiffré
Vérifiez l'URL
La page de votre formulaire doit utiliser HTTPS, pas HTTP. Regardez la barre d'adresse.
BON : https://www.example.com/contact
MAUVAIS : http://www.example.com/contact
Cherchez l'indicateur de sécurité
Dans les navigateurs modernes, une connexion HTTPS sécurisée affiche une icône de cadenas ou une mention « Sécurisé » dans la barre d'adresse. Cliquez dessus pour voir les détails du certificat.
Vérifiez la validité du certificat
Cliquez sur le cadenas et consultez le certificat. Cherchez :
- Est-il valide pour votre domaine ?
- A-t-il expiré ?
- Qui l'a émis (l'autorité de certification) ?
Utilisez un outil de vérification SSL en ligne
Des outils de test SSL en ligne vous permettent de saisir votre domaine et d'obtenir un rapport détaillé sur votre configuration SSL. Ils vérifient si vous utilisez les dernières normes de chiffrement et repèrent les faiblesses.
Problèmes courants de HTTPS et SSL
Avertissement de contenu mixte
La page de votre formulaire est en HTTPS, mais certaines ressources (images, scripts, feuilles de style) sont chargées en HTTP. Les navigateurs préviennent les visiteurs que la page n'est pas entièrement sécurisée. Corrigez cela en passant toutes les ressources en HTTPS.
Certificat non concordant
Le certificat est pour www.example.com mais le visiteur est sur example.com (sans www), ou l'inverse. Les navigateurs affichent un avertissement de sécurité. Corrigez cela avec un certificat générique ou en redirigeant une version vers l'autre.
Certificat expiré
Votre certificat a expiré et doit être renouvelé. Les navigateurs affichent un avertissement de sécurité bien visible. Les visiteurs risquent de ne pas faire confiance à votre formulaire. Renouvelez le certificat immédiatement.
Certificat auto-signé
Votre serveur utilise un certificat que vous avez créé vous-même au lieu de celui d'une autorité de confiance. Les navigateurs ne lui font pas confiance et affichent un avertissement. N'utilisez jamais de certificats auto-signés sur des formulaires publics. Achetez ou utilisez un certificat d'une autorité reconnue.
HTTPS n'est pas réservé aux formulaires
Chaque page de votre site doit utiliser HTTPS, pas seulement les pages de formulaires. Cela protège toutes les données des visiteurs et indique à Google que votre site est sécurisé. Redirigez tout le trafic HTTP vers HTTPS pour que les visiteurs soient toujours protégés.
Ce que fait WEMASY pour le chiffrement SSL/TLS
Chaque site WEMASY et chaque formulaire créé avec WEMASY utilise HTTPS par défaut. Vos formulaires fonctionnent automatiquement sur des connexions sécurisées. WEMASY gère les certificats SSL pour vous, renouvellement automatique compris. Vous n'avez jamais à acheter, installer ou gérer de certificats. Le chiffrement est intégré et toujours actif.
Découvrez votre configuration de sécurité dans les réglages de votre compte ou sur la page des tarifs.