Un site d’arnaque affiche le même cadenas que votre banque, et c’est normal. Ce que le certificat atteste, ce que la poignée de main protège, et ce que votre opérateur ou votre employeur voit encore.
HTTPS garantit trois choses : personne ne lit ce qui circule, personne ne le modifie en route, et le serveur au bout du tuyau contrôle bien le nom de domaine affiché dans la barre d’adresse. Il ne garantit rien d’autre. Un certificat s’obtient gratuitement en quelques minutes pour n’importe quel domaine que l’on possède, y compris un faux domaine bancaire. Le cadenas dit donc que la conversation est privée, pas qu’elle a lieu avec un interlocuteur honnête.
Un SMS annonce un colis bloqué et réclame deux euros de frais de douane. La page qui s’ouvre porte les couleurs du transporteur, un formulaire de carte bancaire, et un cadenas fermé à gauche de la barre d’adresse. Le cadenas n’est pas un trucage. Il est authentique, la liaison est bel et bien chiffrée, et le certificat est parfaitement valide.
Cette page est pourtant une escroquerie. La contradiction n’en est pas une : HTTPS n’a jamais promis de trier les sites honnêtes des autres. Il promet trois propriétés techniques, très précises, qu’il tient scrupuleusement. Les confondre avec un label de confiance est ce qui rend l’hameçonnage moderne si efficace.
Le s de HTTPS ajoute une couche de chiffrement, TLS, entre le protocole du web et le réseau. Cette couche apporte exactement trois choses.
La confidentialité. Ce qui circule entre votre navigateur et le serveur est illisible pour tout intermédiaire : opérateur, administrateur du wifi, voisin de terrasse. Cela couvre le contenu des pages, les identifiants saisis, les numéros de carte, les cookies de session.
L’intégrité. Toute altération en route est détectée et la connexion est coupée. Sans cette propriété, un intermédiaire pourrait injecter un script ou modifier un numéro de compte bancaire affiché à l’écran.
L’authentification du nom de domaine. Le serveur prouve, par cryptographie, qu’il détient la clé privée associée au certificat émis pour ce nom. Vous parlez donc bien à la machine qui contrôle ma-banque.fr, et pas à un imposteur placé au milieu.
Cette troisième garantie est celle que tout le monde surinterprète. Elle porte sur une chaîne de caractères, pas sur une organisation. Si l’escroc a acheté ma-banque-securite.fr, son certificat est valide et son cadenas mérité : il contrôle réellement ce domaine, qui n’est simplement pas celui de votre banque. Distinguer les deux relève entièrement de la lecture d’une URL, pas de la cryptographie.
Avant le premier octet de page, navigateur et serveur négocient. TLS 1.3, publié en 2018, a ramené cette négociation à un seul aller-retour, contre deux auparavant, ce qui a supprimé l’argument « le chiffrement ralentit le site ».
Le point non évident est l’adjectif éphémère. La clé de session est jetée à la fin. Un adversaire qui enregistre aujourd’hui votre trafic chiffré et qui obtient dans cinq ans la clé privée du serveur ne pourra pas le relire. Cette propriété, la confidentialité persistante, est devenue obligatoire en TLS 1.3 ; elle était optionnelle avant, et beaucoup de trafic ancien ne l’avait pas.
Une autorité de certification ne mène pas d’enquête. Dans le cas standard, dit à validation de domaine, elle vous demande de prouver que vous contrôlez le nom : publier un enregistrement précis dans la zone DNS du domaine, ou déposer un fichier à une adresse imposée sur le serveur. Une machine vérifie, et le certificat est émis. Durée typique : moins d’une minute, de façon entièrement automatisée.
Depuis 2015, cette émission est gratuite à grande échelle. Le web y a gagné une généralisation du chiffrement qui aurait été inimaginable autrement, et les fraudeurs y ont gagné le même service. Les relevés des observatoires de l’hameçonnage montrent depuis plusieurs années que l’écrasante majorité des pages frauduleuses sont servies en HTTPS. Le conseil « vérifiez la présence du cadenas », encore répété dans beaucoup de supports de sensibilisation, a donc changé de sens : il élimine désormais très peu d’arnaques.
| Type de certificat | Ce qui est vérifié | Ce que le navigateur montre | Délai et coût indicatifs (2026) |
|---|---|---|---|
| Validation de domaine (DV) | Le contrôle technique du nom de domaine | Un cadenas, rien de plus | Quelques minutes, souvent gratuit |
| Validation d’organisation (OV) | L’existence juridique de l’entité demandeuse | Un cadenas identique ; le nom figure dans le détail du certificat | Quelques jours, quelques dizaines à centaines d’euros par an |
| Validation étendue (EV) | Vérification renforcée de l’entité, selon des règles communes aux autorités | Un cadenas identique depuis 2019, le nom n’est plus affiché dans la barre | Une à plusieurs semaines, plusieurs centaines d’euros par an |
| Certificat auto-signé | Rien, il est émis par son propre détenteur | Un avertissement de sécurité bloquant | Immédiat, gratuit, réservé aux usages internes |
| Certificat qualifié européen | Identité vérifiée selon le règlement eIDAS, par un prestataire qualifié | Aucune signalétique dédiée dans les navigateurs grand public | Procédure formelle, tarif d’un certificat OV ou plus |
Les certificats à validation étendue affichaient jadis le nom de l’entreprise en vert dans la barre d’adresse. Les principaux navigateurs ont retiré cet affichage en 2019, après des années de mesures convergentes : les internautes ne le remarquaient pas, ne savaient pas l’interpréter, et des démonstrations avaient montré qu’il suffisait d’enregistrer une société au nom bien choisi pour obtenir une barre verte trompeuse.
La leçon dépasse le cas du certificat. Une signalétique de confiance qui se monnaye finit toujours par être achetée par ceux qu’elle devait dénoncer. C’est pourquoi les navigateurs ont fait le chemin inverse : plutôt que de récompenser le site chiffré par un cadenas valorisant, ils punissent désormais le site non chiffré par un avertissement explicite. Certains ont même commencé à masquer l’icône de cadenas, devenue insignifiante à force d’être universelle.
Le débat n’est pas clos en Europe. La révision du règlement eIDAS, adoptée en 2024, a rouvert la question des certificats qualifiés d’authentification de site internet et du traitement que les navigateurs doivent leur réserver. L’enjeu : rendre l’identité d’une organisation à nouveau vérifiable, sans rétablir un signal que les utilisateurs interprètent mal.
HTTPS chiffre le contenu, pas les métadonnées d’acheminement. Trois fuites subsistent et elles suffisent souvent à reconstituer votre navigation.
La requête DNS qui précède la connexion contient le nom du site en clair, sauf si vous avez activé un transport chiffré pour l’annuaire. L’adresse IP de destination figure dans chaque paquet, et sur un serveur qui n’héberge qu’un site, elle le désigne aussi bien que son nom, comme l’explique le rôle réel d’une adresse IP. Enfin, le champ SNI de la poignée de main transporte le nom du site demandé en clair, parce que le serveur doit savoir quel certificat présenter avant même que le chiffrement ne soit établi. Une extension nommée ECH chiffre ce champ, mais son déploiement reste partiel.
S’ajoute l’analyse des volumes et du rythme des échanges, qui distingue une vidéo d’une page de texte sans rien déchiffrer. Autrement dit : votre opérateur ne sait pas ce que vous lisez sur un site, il sait très bien quels sites vous consultez et combien de temps.
Sur un poste d’entreprise, un équipement de filtrage se place au milieu des connexions. Il présente à votre navigateur un certificat qu’il fabrique lui-même, signé par une autorité maison installée d’avance dans le magasin de confiance de l’ordinateur. Le navigateur, qui fait confiance à cette autorité, affiche un cadenas normal. Le proxy, lui, lit tout en clair.
Le même mécanisme existe dans certains logiciels de sécurité grand public qui inspectent le trafic web, sujet abordé dans le débat sur l’utilité d’un antivirus tiers. Le procédé est défendable dans un cadre professionnel encadré, il l’est beaucoup moins sur une machine personnelle, car il crée un point de déchiffrement supplémentaire et dégrade parfois la vérification des certificats distants.
Il existe un moyen simple de savoir si vous êtes inspecté : ouvrez le détail du certificat du site et regardez qui l’a émis. Si l’émetteur est une autorité publique connue, la connexion va bien jusqu’au serveur. Si c’est un nom interne à votre organisation ou celui d’un logiciel installé sur la machine, votre trafic est déchiffré localement.
La révocation d’un certificat compromis n’a jamais vraiment fonctionné. Les listes de révocation sont volumineuses, la vérification en ligne ajoute de la latence et échoue silencieusement en cas d’indisponibilité, si bien que les navigateurs, pour ne pas casser la navigation, laissent souvent passer. Un certificat volé pouvait donc rester utilisable des mois.
La réponse retenue par les navigateurs et les autorités de certification n’est pas de réparer la révocation, mais de raccourcir la durée de vie des certificats jusqu’à la rendre secondaire. Le plafond est passé à 398 jours en 2020, puis à 200 jours en mars 2026, avec un calendrier public qui prévoit 100 jours en 2027 et 47 jours en 2029.
La conséquence pratique ne concerne pas les visiteurs, mais tous ceux qui exploitent un site : le renouvellement manuel annuel devient intenable, l’automatisation devient obligatoire, et le certificat expiré cesse d’être une erreur d’étourderie pour devenir un défaut de procédure. Ajoutez-y la transparence des certificats, ces registres publics où toute émission est inscrite : n’importe qui peut y surveiller les certificats délivrés pour un nom proche du sien, et repérer un domaine de typosquattage avant même qu’il ne serve.
| Message du navigateur | Cause la plus fréquente | Gravité |
|---|---|---|
| Le certificat ne correspond pas au nom du site | Mauvaise configuration du serveur, ou interception | Élevée si vous allez saisir des identifiants |
| Émis par une autorité inconnue | Proxy d’entreprise, logiciel d’inspection, ou attaque | Élevée sur un réseau public |
| Certificat expiré | Renouvellement oublié par l’exploitant | Faible à modérée, mais horloge de l’appareil à vérifier |
| Connexion interceptée par un portail wifi | Page d’authentification d’un hôtel, d’un train ou d’un aéroport | Faible, mais ne saisissez rien d’autre que ce que le portail demande |
| Aucun contournement proposé | Le site impose HSTS, parfois via la liste préchargée du navigateur | Le refus est la protection, ne cherchez pas à passer |
Une erreur d’horloge mérite une mention à part : un appareil dont la date est fausse déclare valides des certificats périmés et périmés des certificats valides. C’est la première chose à vérifier quand tous les sites, sans exception, se mettent à produire des alertes, avant même de soupçonner le réseau ou de suivre la procédure d’isolement d’un site qui refuse de s’ouvrir.
Ne posez plus la question « est-ce chiffré ». La réponse est presque toujours oui, et elle ne discrimine plus rien. Posez la seule question qui reste utile : à quel nom de domaine suis-je en train de parler, et est-ce exactement celui que j’attendais ? Lisez le nom dans la barre d’adresse, pas dans le contenu de la page, jamais dans un lien reçu.
Le second réflexe est aussi rentable que le premier : n’arrivez pas sur les pages sensibles par un lien. Tapez le domaine, utilisez un favori enregistré, ou passez par l’application officielle. Cette discipline élimine la quasi-totalité des faux sites, y compris ceux que décrit le cas des faux SMS de livraison. Pour éprouver votre œil sur des cas réels, le quiz de reconnaissance d’arnaque met en scène des pages qui ont toutes un cadenas.
Non, et c’est le contresens le plus fréquent. Le cadenas signale que la liaison est chiffrée et que le serveur contrôle le nom de domaine affiché. Obtenir un certificat pour un domaine que l’on vient d’acheter prend quelques minutes et ne coûte rien. Un faux site de livraison ou de banque en possède donc un, exactement comme le vrai. La question utile n’est pas « y a-t-il un cadenas » mais « le nom de domaine est-il bien celui que je crois ».
Cela dépend du message. Un nom de domaine qui ne correspond pas au certificat, ou un certificat signé par une autorité inconnue, sont les signatures d’une interception : ne passez pas outre sur un site où vous saisissez des identifiants ou un moyen de paiement. Un certificat simplement expiré sur un site sans enjeu est le plus souvent une négligence de l’exploitant. Sur les grands services, le navigateur ne vous laisse d’ailleurs plus le choix, grâce au mécanisme HSTS.
Techniquement oui, si un certificat d’autorité maison a été installé sur l’ordinateur professionnel : le proxy déchiffre, inspecte, puis rechiffre vers vous. Juridiquement, cette inspection doit être proportionnée, déclarée dans une charte informatique et portée à la connaissance des salariés, et elle ne l’autorise pas à ouvrir les contenus identifiés comme personnels. Le sujet est traité dans les règles applicables au matériel professionnel.
De moins en moins sur le web public, où les navigateurs affichent un avertissement explicite et bloquent les ressources non chiffrées d’une page chiffrée. Il subsiste sur les équipements locaux : interfaces d’administration de box, imprimantes réseau, caméras, objets connectés. Le risque y est plus faible puisque le trafic ne quitte pas le logement, mais un mot de passe transmis en clair sur un wifi mal protégé reste lisible par toute personne à portée.
Ce n’est presque plus possible pour un visiteur. Les navigateurs ont retiré en 2019 l’affichage du nom de société qui accompagnait les certificats à validation étendue, faute de valeur démontrée : les utilisateurs ne le regardaient pas et il se contournait. Le détail reste consultable en ouvrant le certificat, mais il ne sert qu’à un examen ponctuel, pas à un réflexe de navigation.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Adresse IP, DNS, wifi, fibre, 5G, cookies : le réseau démonté pièce par pièce.