Google vient d'annoncer qu'à partir de juillet 2018, Chrome, leur navigateur Web très populaire, commencera à alerter pour tous les sites Web qui n'utilisent pas Secure Sockets Layer ou le cryptage SSL. C'est énorme. Les ramifications d'une telle alerte pourraient avoir un impact considérable sur le trafic, les sites Web et en particulier pour l'utilisateur moyen. Alors, qu'est-ce que ça signifie pour vous? Plus important encore, que pouvez-vous faire à ce sujet ? Pas de soucis! Liquid Web vous a couvert.
Dans l'article d'aujourd'hui, nous détaillerons quelques points plus précis du cryptage SSL, y compris ce que c'est, ce que cela signifie et comment l'utiliser. Commençons !
Qu'est-ce que le protocole SSL (Secure Sockets Layer) ?
Secure Sockets Layer, ou SSL, est un moyen de crypter le trafic. C'est ça! Ce n'est pas un mystère et il n'y a aucune raison de se sentir intimidé par le terme technique. La meilleure partie est que vous avez probablement utilisé le trafic crypté SSL depuis toujours et que vous ne l'avez même pas remarqué. Si vous avez déjà consulté un site Web et remarqué le préfixe https:// ou un petit cadenas dans la barre du navigateur, vous utilisez le chiffrement Secure Sockets Layer.
Non crypté :non-SSL
Crypté :SSL sécurisé
À un niveau très élevé, on parle de paire clé-certificat, et c'est très simple. Le fichier de clé et les fichiers de certificat sont installés sur votre serveur Web. Une fois installé, vos visiteurs naviguent jusqu'au préfixe https:// et c'est tout ! Leur trafic est crypté de bout en bout. Si vous ne savez pas si vous utilisez actuellement un SSL, il existe des outils pratiques tels que Why No Padlock qui peuvent vous aider à identifier votre utilisation.
Comment fonctionne SSL ?
Les parties plus techniques tournent autour d'un algorithme de cryptage et sont un peu spécifiques à l'utilisateur moyen. À sa base, une clé de chiffrement et un certificat sont installés sur votre serveur Web, comme nous l'avons mentionné précédemment. Cette clé est composée de détails sur le site Web. Rien d'effrayant, cependant! C'est juste assez pour s'assurer que le site est bien celui qu'il prétend être. Des détails tels que le nom de domaine, le nom de l'entreprise, l'adresse professionnelle de l'entreprise ; ce genre de chose. Vous savez, les aspects que vous aimeriez connaître sur une entreprise légitime avec laquelle vous choisissez de faire affaire et, en tant que propriétaire d'entreprise, que vous êtes fier d'annoncer au public.
Enfin, ces informations sont soumises à une autorité de certification connue qui chiffrera les données dans la paire clé-cert dont nous avons déjà parlé. Vous allez installer la paire clé-certificat sur votre serveur. Ensuite, chaque fois que quelqu'un essaie d'accéder à https sur votre site, son navigateur reçoit ce certificat public et le compare aux enregistrements publics de votre domaine. Le navigateur vérifiera que votre entreprise est légitime, – parce qu'elle l'est ! – et utilisera ce certificat pour crypter toutes les données échangées entre eux et votre serveur Web.
Cela signifie que, chaque fois que des données circulent entre eux et vous, si des personnes malveillantes tentent de les inspecter ou de les voler, tout ce qu'ils obtiendront sera un tas de fichiers indésirables brouillés. Vos données et celles de vos clients sont à la fois sûres et sécurisées !
Liquid Web propose des instructions détaillées étape par étape sur la configuration du serveur dans notre base de connaissances. Une fois que vous avez installé un SSL sur votre site, vos clients disposent toujours de deux moyens pour se connecter à votre site. La méthode HTTP, qui n'est pas chiffrée, et la méthode HTTPS, qui est chiffrée par votre nouveau SSL. Le choix est généralement indiqué par la façon dont vos clients ou votre trafic de référence structurent leur lien.
Redirection vers HTTPS
RemarqueCe processus suppose que vous avez déjà installé un SSL sur votre site. Le processus est appelé « Forcer la redirection SSL ». En fin de compte, vous utiliserez du code pour vous assurer que chaque fois qu'une personne accède à HTTP, son trafic est dirigé vers HTTPS. Cliquez sur les onglets ci-dessous pour découvrir les différentes manières d'implémenter SSL sur votre site.
- cPanel
- WordPress
- .htaccess
- Plesk
Si vous utilisez cPanel, vous devrez accéder à votre compte cPanel et accéder au menu "Redirections" du groupe "Domaines".
Vous remarquerez la case à cocher Wild Card Redirect. Il s'agit d'une fonction unique qui force tous les liens vers HTTPS, pas seulement le domaine principal. Je suis très fan de cette option car elle garantit que tous les liens seront dirigés vers la version sécurisée SSL qui vous couvre si quelqu'un établit un lien vers une page spécifique de votre site et non vers la page d'accueil.
Cliquez sur "AJOUTER" et vous avez terminé !
Contenu mixte (Contenu non sécurisé)
Il y a une dernière partie. Les SSL sont installés sur votre serveur. Ainsi, ils ne peuvent chiffrer et protéger que les objets qui se trouvent sur votre serveur. Cela signifie que si vous créez un lien vers du contenu hors serveur, comme des publications Facebook, des liens YouTube ou des images ou d'autres contenus provenant de sites tiers, vous devez vous assurer qu'ils utilisent également un SSL. Si ce n'est pas le cas, vous hébergez techniquement du contenu non sécurisé sur cette page et Chrome alertera vos clients en tant que tel (caractérisé par https mais pas le cadenas vert). Si vous n'êtes pas sûr du contenu de votre site, vous pouvez utiliser un site comme Why No Padlock pour vérifier. Cela vous donnera une bonne lecture et répertoriera tous les problèmes liés au contenu non crypté sous l'en-tête "Contenu mixte" du rapport.
Heureusement, de grands noms comme YouTube et Facebook sont déjà à bord et utilisent les SSL. Mais il existe encore de nombreux sites sur Internet qui ne le font pas. C'est à vous d'aider à la sécurité d'Internet et de faire preuve de diligence dans notre quête pour être ensemble de bons citoyens du Net.
Vous êtes maintenant familiarisé avec les SSL, la redirection SSL forcée et la prochaine alerte Google Chrome. Comme toujours, si jamais vous avez besoin d'aide ou si vous rencontrez des problèmes, notre base de connaissances est à votre disposition et nos équipes d'assistance seront ravies de vous aider.