TLS (HTTPS)
TLS · SSL · HTTPS · Transport Layer Security · TLS 1.3 · TLS 1.2 · cadenas du navigateur
Protocole qui chiffre et authentifie les échanges entre deux machines, par exemple entre votre navigateur et un site en HTTPS, pour empêcher d’écouter ou de modifier les données en chemin.
En pratique
TLS vérifie d’abord l’identité du serveur grâce à son certificat, puis négocie des clés de session qui chiffrent tout l’échange. La version à privilégier est TLS 1.3 (2018), plus rapide et débarrassée des mécanismes fragiles ; TLS 1.2 reste acceptable s’il est bien configuré (échange de clés ECDHE, chiffrement AES-GCM ou ChaCha20-Poly1305). SSL 2.0 et 3.0, TLS 1.0 et TLS 1.1 sont obsolètes, l’IETF ayant formellement déprécié les deux derniers en 2021 : ils doivent être désactivés. Attention, TLS protège le transport, pas le contenu : un site d’hameçonnage (phishing) peut parfaitement afficher un cadenas.
Cas fictif : un scan de surface révèle que l’ancien portail fournisseurs d’une PME accepte encore TLS 1.0 et des suites de chiffrement faibles. Désactiver ces versions côté serveur prend dix minutes et ne bloque aucun utilisateur réel.
Comment s’en protéger
- Activer TLS 1.3, conserver TLS 1.2 avec des suites robustes et désactiver tout le reste.
- Renouveler les certificats automatiquement (protocole ACME).
- Ajouter l’en-tête HSTS pour interdire tout retour au HTTP.
