Navigateurs, HTTPS et comment vérifier un site — Les bases de la cybersécurité : se protéger et comprendre les menaces

Le petit cadenas à côté de l'adresse d'un site, vous le connaissez. Beaucoup de gens pensent qu'il signifie « ce site est sûr ». C'est faux, et cette confusion est exploitée tous les jours par les fraudeurs. Cette leçon explique ce que HTTPS garantit réellement, ce qu'il ne garantit pas, et comment vérifier concrètement qu'un site est bien celui que vous croyez.

Dans le chapitre précédent, vous avez sécurisé vos appareils. Passons maintenant à leur usage quotidien, en commençant par l'outil que vous utilisez sans doute le plus : votre navigateur. Pour Nora, notre personnage fil rouge, c'est la porte d'entrée vers la banque, les impôts, les achats et les démarches des enfants.

Adresse web, domaine : lire une URL

Une adresse web (URL) se lit de manière précise, et c'est une compétence de sécurité essentielle. Prenons un exemple fictif :

https://compte.exemple-banque.fr/connexion?lang=fr

Ses parties importantes :

https : le protocole (ici, la version sécurisée) ;
compte.exemple-banque.fr : le nom d'hôte. Le nom de domaine réel, celui qui identifie le propriétaire, est la partie qui précède la dernière extension : exemple-banque.fr. Ce qui se trouve avant (ici compte.) est un sous-domaine librement choisi par le propriétaire du domaine ;
/connexion : le chemin de la page sur le site ;
?lang=fr : des paramètres.

Le domaine se lit de droite à gauche en partant de l'extension, jusqu'au premier point suivant le nom. Les fraudeurs comptent sur le fait que vous lisiez de gauche à droite. Regardez ces adresses fictives :

Adresse	Domaine réel	Verdict
`compte.exemple-banque.fr`	`exemple-banque.fr`	Cohérent
`exemple-banque.fr.connexion-securisee.com`	`connexion-securisee.com`	Piège : le nom de la banque n'est qu'un sous-domaine d'un autre site
`exemple-banque-secure.fr`	`exemple-banque-secure.fr`	Domaine différent de la banque, ressemblance trompeuse
`exernple-banque.fr`	`exernple-banque.fr`	« rn » à la place de « m » : faute de frappe volontaire

Cette technique d'imitation s'appelle le typosquatting (usurpation par fautes de frappe) ; sa variante avec des caractères visuellement proches, parfois issus d'autres alphabets, s'appelle l'attaque par homographe.

Ce que HTTPS garantit, et ce qu'il ne garantit pas

HTTPS est la version chiffrée du protocole utilisé par le web. Il repose sur un certificat qui permet au navigateur de vérifier deux choses :

La confidentialité : ce que vous échangez avec le site est chiffré et ne peut pas être lu par quelqu'un qui écoute en chemin (Wi-Fi public, fournisseur d'accès, etc.) ;
L'intégrité : les données ne sont pas modifiées en cours de route ;
L'authenticité du nom de domaine : vous parlez bien au site qui possède ce nom de domaine, et pas à un intermédiaire.

Mais HTTPS ne garantit pas que le site soit honnête. Un fraudeur peut très bien obtenir un certificat gratuit pour son faux site : il aura son cadenas, et la communication avec son faux site sera effectivement chiffrée… vers le fraudeur. Le cadenas signifie « la connexion est chiffrée jusqu'à ce domaine », pas « ce domaine est digne de confiance ».

Analogie : une enveloppe scellée. Elle garantit que personne ne lira la lettre pendant le trajet, mais pas que le destinataire est honnête.

Cadenas ne veut pas dire confiance

Beaucoup de sites de phishing utilisent désormais HTTPS. L'absence de cadenas est un mauvais signe (n'entrez jamais d'informations sensibles sur un site sans HTTPS), mais sa présence ne suffit pas à rassurer. Vérifiez toujours le nom de domaine.

Si vous souhaitez approfondir le fonctionnement technique de HTTPS, vous pouvez consulter les ressources pédagogiques de developer.mozilla.org. Le cours suivant du parcours (réseaux et systèmes) y reviendra en détail.

Les alertes du navigateur : à prendre au sérieux

Les navigateurs récents affichent des avertissements pleine page lorsqu'un certificat est invalide, expiré ou ne correspond pas au site, ou lorsque le site est signalé comme dangereux (hameçonnage, logiciels malveillants). Ces alertes ne sont pas à contourner à la légère :

sur un site que vous ne connaissez pas, ou pour y saisir un mot de passe ou une donnée de paiement, retournez en arrière ;
n'ajoutez jamais d'exception « continuer malgré tout » pour un site bancaire, administratif ou commercial ;
si un site habituel affiche soudain cette alerte, ne vous connectez pas ; essayez plus tard ou depuis un autre réseau, et vérifiez l'adresse.

Vérifier un site avant de lui faire confiance

Quand vous rencontrez un site inconnu (boutique, annonce, association), pratiquez une vérification en cinq points :

Le nom de domaine : est-il cohérent avec l'enseigne ? Pas de faute de frappe, pas de domaine étrange ?
Les mentions légales : y trouve-t-on une raison sociale, une adresse, un numéro d'immatriculation, un contact ? Les sites français de vente en ligne doivent les afficher ;
La réputation : cherchez le nom du site accompagné de « avis » ou « arnaque », et regardez des sources indépendantes (pas seulement les témoignages affichés sur le site) ;
Les prix et conditions : un prix très inférieur au marché, une livraison miraculeuse, des conditions de paiement inhabituelles (virement uniquement, carte cadeau) sont des alarmes ;
Le moyen de paiement : privilégiez la carte bancaire avec authentification forte, ou un paiement qui offre une protection en cas de litige. Évitez les virements vers des inconnus.

Pour vérifier l'ancienneté d'un domaine, il existe des services de consultation publique des enregistrements de noms de domaine : un site « officiel » dont le domaine a été créé il y a quelques jours doit éveiller votre méfiance.

Bien configurer son navigateur

Mettez-le à jour (c'est une cible prioritaire, cf. chapitre 3) ;
Vérifiez le mode HTTPS : activez l'option qui privilégie ou impose les connexions chiffrées lorsqu'elle existe ;
Limitez les extensions : chacune a des droits sur ce que vous voyez et saisissez. Ne gardez que celles dont vous avez réellement besoin, issues de la boutique officielle, avec des éditeurs connus ;
Activez la protection contre les sites dangereux (navigation sécurisée) ;
Surveillez les fenêtres surgissantes et les demandes de notification : refusez les notifications de sites inconnus, elles servent souvent à envoyer de fausses alertes ;
Utilisez des profils séparés si vous le pouvez : un pour les usages sensibles (banque, administration), un pour la navigation courante ;
Gérez les mots de passe enregistrés : utilisez le gestionnaire (chapitre 2) plutôt que de laisser des mots de passe en clair dans un navigateur non protégé ;
Videz régulièrement l'historique et les données de site sur les ordinateurs partagés ; utilisez la navigation privée sur un appareil qui n'est pas le vôtre, sans oublier de vous déconnecter.

Astuce : le signet, plus sûr que le lien

Pour vos sites sensibles (banque, impôts, messagerie), enregistrez l'adresse exacte dans vos favoris la première fois, après avoir vérifié l'URL, puis passez toujours par ce favori. Vous évitez les fausses pages trouvées via un lien de message ou une publicité.

Attention aux publicités et aux résultats de recherche

Les fraudeurs achètent des publicités qui s'affichent en tête des résultats de recherche, avec le nom d'un service connu et un lien vers un faux site. Pour les services sensibles, regardez la mention « Annonce » ou « Sponsorisé » et ne cliquez pas : utilisez votre signet ou tapez directement l'adresse connue.

Carnet de sécurité : le navigateur

Ajoutez dans votre carnet une courte liste « Navigation » : vos cinq sites sensibles enregistrés en signet, le nombre d'extensions supprimées, et le réglage HTTPS vérifié.

À vous de jouer

Lisez les adresses fictives suivantes. Pour chacune, identifiez le domaine réel et dites si vous cliqueriez :

https://impots.exemple-gouv.fr/paiement
https://exemple-gouv.fr.remboursement-rapide.net/formulaire
http://www.exemple-boutique.fr/panier (sans HTTPS, avec formulaire de carte bancaire)

Voir une solution

Le domaine réel est exemple-gouv.fr, impots étant un sous-domaine. L'adresse est cohérente avec l'organisme annoncé. Pour une démarche sensible, utilisez tout de même votre signet plutôt qu'un lien reçu.
Le domaine réel est remboursement-rapide.net : exemple-gouv.fr n'est qu'un sous-domaine d'un autre site. Piège classique : ne cliquez pas.
Sans HTTPS, les données de carte circuleraient en clair. N'y saisissez jamais de données de paiement : les navigateurs récents signalent d'ailleurs ce type de page comme non sécurisée.

À retenir

Le domaine réel d'une adresse se lit à la fin du nom d'hôte, juste avant l'extension : tout ce qui précède est un sous-domaine.
HTTPS chiffre la connexion et vérifie le domaine, mais ne garantit pas que le site soit honnête.
Prenez les alertes du navigateur au sérieux, surtout pour les sites sensibles.
Vérifiez un site inconnu : domaine, mentions légales, réputation, prix, moyen de paiement.
Utilisez des signets pour vos sites sensibles plutôt que des liens reçus ou des publicités.

Vous savez vérifier un site. Mais où vous connectez-vous ? Dans la leçon suivante, nous parlons des réseaux Wi-Fi publics et des VPN, souvent mal compris.