Pourquoi utiliser HTTPS sur votre site

Le protocole HTTPS permet de sécuriser les échanges faits entre un visiteur et votre serveur, de manière à ce qu’ils ne soient pas possible de déchiffrer ces derniers si un pirate venait à les subtiliser. De nos jours, de plus en plus de sites web utilisent cette protection, à commencer par tous les e-commerces et autres sites de banking. Vous pensez que ça ne vaut pas la peine pour votre site vitrine ou votre blog ? Voyons ça de plus près …

La vie privée

Jusqu’à présent, la majorité des internautes pensaient que personne ne ferait l’effort d’écouter et d’espionner leurs communications en ligne, que ce soit pour le peu d’informations intéressantes disponibles sur la toile ou pour l’intérêt qu’un hacker pourrait avoir pour un quidam quelconque.

Cependant, nos vies sont maintenant de plus en plus digitalisées: emails, agenda, documents, photos, informations bancaires et données médicales sont autant d’informations qui se retrouvent maintenant stockées sur internet. On sait également que ces informations intéressent de plus en plus de personnes, que ce soit des hackers ou des gouvernements (la NSA est un bel exemple). La plupart des géants d’Internet ont maintenant crypté la plupart de leurs connexions. Cependant, il reste encore de très nombreux sites web qui utilisent le protocole HTTP.

Les dangers

Accéder à votre réseau

Lorsque vous vous connectez sur un site web, vous envoyez votre adresse email ou username ainsi que votre mot de passe vers le serveur. Si la connexion n’est pas sécurisée, ces informations seront transmises sur Internet « en clair ». Autrement dit, il suffit qu’un hacker espionne votre connexion internet pour qu’il récupère votre email et votre mot de passe. (Et, c’est assez facile à faire!)

En tant que webmaster, vous avez tout intérêt à éviter que ce genre de piratage arrive, que ce soit pour l’intérêt de vos utilisateurs, la notoriété ou la sécurité de votre internet.

Il suffit d’une et une seule fois …

Combien de mots de passe différents utilisez-vous sur Internet ? 2 ? 3 ? 4 ? La plupart des gens ré-utilisent très souvent le même mot de passe partout sur la toile. Il suffit donc à un pirate d’attaquer un petit site non-sécurisé, de récupérer quelques mots de passe et, ensuite, de tester ces mots de passe sur d’autres sites web comme Gmail ou Facebook. Il suffit donc parfois d’une faille dans un seul site web.

Vous pourriez penser que cela ne vaut pas la peine d’utiliser HTTPS pour le petit formulaire qui permet à vos visiteurs de laisser un commentaire. Mais, pensez-y, cela pourrait être la porte d’entrée à de biens plus gros problèmes pour vous et vos visiteurs ! (Je pense notamment au cas de Mat Honan qui s’est fait tout simplement effacé du net en moins d’une heure)

Spear Phishing et Social Engineering

Il y a aussi des informations qui paraissent totalement anodines, mais qui peuvent s’avérer extrêmement utiles pour un hacker comme, par exemple, votre numéro de téléphone ou votre adresse email. Le Spear Phishing est une technique de piratage qui a pour but de récolter des renseignements personnels sur une personne précise. Dans un premier temps, le hacker va récolter un maximum d’informations sur une personne pour, ensuite, lui envoyer un message ciblé et personnalisé pour lui soutirer des informations (mot de passe, carte de crédit, etc.) ou le faire installer un logiciel malveillant.

Les personnes qui s’inscrivent sur votre site acceptent de vous transmettre des informations car elles ont confiance en votre site, à vous de faire en sorte que cette confiance persiste. De plus, un nombre grandissant de personnes accordent de l’importance à l’utilisation de HTTPS sur un site web et certaines d’entre elles ne s’inscriront par sur votre site si ce dernier n’utilise pas HTTPS.

Conclusion

Il y a de nombreuses raisons qui vous invitent à mettre en place le protocole HTTPS sur votre serveur. Cela peut paraitre lourd aux premiers abords, mais la plupart des hébergeurs, comme l’hébergeur 1&1, proposent des solutions rapides, faciles et abordables. Si vous ne le faites pas pour vos visiteurs, faites le au moins pour vous: au fur et à mesure du temps, tous les sites sécuriseront leurs connexions, vous ne voudriez pas être le dernier quand même ? 😉

PS : Je suis bien conscient que Pexiweb n’utilise pas encore HTTPS, ce sera pour bientôt !