Certificat SSL
ce que le cadenas prouve, et ce qu’il ne prouve pas
Le cadenas dit que personne n’écoute la conversation. Il ne dit pas à qui vous parlez.
Un certificat SSL est un fichier déposé sur le serveur d’un site, délivré par une autorité de certification, qui associe un nom de domaine à une clé et permet au navigateur d’ouvrir une connexion chiffrée. Le cadenas affiché à côté de l’adresse garantit que les échanges sont illisibles pour un tiers, et que le certificat correspond bien au domaine affiché.
- SSL ou TLS : deux noms pour la même chose dans le langage courant, TLS étant le protocole réellement utilisé.
- Ce qui est protégé : le trajet des données, pas l’honnêteté de celui qui les reçoit.
- Une alerte de certificat se lit avant de se contourner : la cause vient parfois de votre propre appareil.
- Le certificat se consulte en cliquant sur l’icône à gauche de l’adresse, dans n’importe quel navigateur.
Un certificat SSL, en une minute
Un certificat SSL est un fichier déposé sur le serveur d’un site. Il contient un nom de domaine, une clé publique, une date de fin de validité, et la signature de l’organisme qui l’a délivré — une autorité de certification. Quand votre navigateur ouvre la page, il lit ce fichier, vérifie la signature, et ouvre une connexion chiffrée si tout concorde. C’est ce qui fait passer l’adresse de HTTP à HTTPS et allumer le petit cadenas.
Un mot sur le nom. SSL est l’ancien protocole, retiré de la circulation depuis des années pour des raisons de sécurité. Ce qui tourne aujourd’hui s’appelle TLS. L’usage a gardé l’expression « certificat SSL » par habitude, y compris chez les vendeurs de certificats : les deux termes désignent la même chose dans le langage courant.
Deux publics tapent cette question. Ceux qui gèrent un site et à qui un hébergeur vend une option qu’ils ne comprennent pas — pour eux, le sujet est le choix, l’installation et le renouvellement. Et ceux qui viennent de tomber sur un avertissement de sécurité, ou qui se demandent si le cadenas d’une boutique en ligne veut dire quelque chose. La suite s’adresse à ces derniers.
Ce que le cadenas prouve réellement
Deux choses. D’abord, que les échanges entre votre appareil et le serveur sont chiffrés. Ce que vous tapez — mot de passe, numéro de carte, message — circule sous une forme illisible pour qui intercepterait le trafic. Sur un réseau Wi-Fi partagé, dans un train ou un café, cette protection compte réellement. Sans elle, tout passe en clair.
Ensuite, que le certificat présenté a bien été délivré pour le nom de domaine affiché dans la barre d’adresse. Cette vérification empêche un site tiers de se faire passer pour celui que vous avez demandé. Si l’adresse que vous lisez est la bonne, vous parlez bien au serveur qui répond derrière cette adresse.
Ces deux garanties portent sur le tuyau, pas sur ce qui se trouve au bout. C’est toute la nuance, et c’est là que le malentendu commence.
Ce qu’il ne prouve pas
Le certificat ne dit rien de l’honnêteté du site, de la qualité du service, ni de la légalité de l’activité. Un site qui encaisse des paiements pour des colis qu’il n’expédiera jamais peut afficher un cadenas parfaitement valide, et il le fait.
La raison tient au mode de délivrance. Un certificat de base s’obtient gratuitement, en quelques minutes, et de façon automatisée. La seule vérification menée porte sur le contrôle du domaine : l’organisme s’assure que le demandeur maîtrise bien l’adresse pour laquelle il réclame un certificat. Pas son identité, pas son activité, pas sa réputation. Quiconque enregistre un domaine obtient donc un certificat dans la foulée — n’importe quelle boutique frauduleuse comprise.
Le conseil hérité des années 2010, « cherchez le cadenas », n’est donc plus seulement insuffisant : il est devenu trompeur, parce qu’il rassure au mauvais endroit. Une façon simple de retenir la bonne lecture : le cadenas dit que personne n’écoute la conversation, il ne dit pas à qui vous parlez.
Décoder une alerte de certificat
Quand un navigateur bloque l’accès à un site, il affiche une page d’avertissement plutôt que la page demandée. Le message exact varie selon le logiciel, mais les causes se rangent dans quatre familles.
| Ce que dit le message | Cause probable | Conduite à tenir |
|---|---|---|
| Le certificat a expiré | Renouvellement oublié côté site, ou horloge de votre appareil déréglée | Vérifiez votre date système d’abord, puis revenez plus tard |
| Le nom ne correspond pas au site | Certificat délivré pour une autre adresse, ou site mal configuré | Ne saisissez rien, relisez l’adresse caractère par caractère |
| L’autorité est inconnue | Certificat auto-signé, ou interception par un logiciel ou un réseau tiers | Sur un réseau public, fermez l’onglet |
| Le certificat a été révoqué | Certificat retiré par son autorité, souvent après une compromission | Quittez le site, sans exception |
Les cas où le problème vient de votre appareil
Le plus fréquent, et le plus déroutant, est celui de l’horloge. La validité d’un certificat se juge par rapport à une date, et cette date est celle de votre machine. Une pile de carte mère fatiguée, un système restauré, un téléphone resté longtemps éteint : l’appareil se croit plusieurs années en arrière, et refuse alors des certificats parfaitement valides. Le symptôme est reconnaissable — tous les sites deviennent inaccessibles d’un coup, pas seulement un. Remettre la date à l’heure règle le problème en dix secondes.
Deuxième cas, les logiciels qui inspectent le trafic. Certains antivirus, certains contrôles parentaux et la plupart des réseaux d’entreprise ouvrent les connexions chiffrées pour les analyser, puis les referment avec leur propre certificat. Le navigateur signale alors une autorité qu’il ne connaît pas. Sur un poste professionnel, c’est attendu. Sur votre réseau personnel, c’est un signal à ne pas ignorer.
Les cas où il faut fermer l’onglet
Un certificat révoqué ne se discute pas : l’autorité l’a retiré, généralement parce que la clé a fuité. Un nom qui ne correspond pas mérite le même traitement quand vous êtes sur le point de payer ou de vous identifier, parce que c’est exactement la signature d’une page qui imite un site connu.
Tous les navigateurs autorisent à forcer l’accès malgré l’avertissement. Une alerte sur un blog qu’on consulte sans se connecter est un ennui ; la même alerte sur une banque, une messagerie ou une boutique est une raison de partir. Le contournement est précisément ce qu’il ne faut pas faire là où vous avez quelque chose à saisir.
Lire le certificat d’un site en deux clics
Vous n’avez besoin d’aucun outil pour consulter le certificat d’un site. Les intitulés changent d’un navigateur à l’autre, le contenu non.
-
Ouvrez le panneau de connexion
Cliquez sur l’icône située juste à gauche de l’adresse. Le menu qui s’ouvre mène aux détails de la connexion, puis au certificat lui-même.
-
Lisez la ligne « délivré à »
Elle indique le nom de domaine couvert par le certificat. Il doit correspondre exactement à celui de la barre d’adresse, sous-domaine compris.
-
Lisez la ligne « délivré par »
C’est l’autorité de certification. Un nom d’éditeur d’antivirus ou d’entreprise à cet endroit signale que votre trafic est déchiffré et réémis en local, ce qui n’a rien à voir avec le site que vous consultez.
-
Vérifiez la date de fin de validité
Elle explique la plupart des alertes d’expiration, et permet de distinguer un certificat réellement périmé d’une horloge locale mal réglée.
Sur certains sites d’entreprises, de banques ou d’administrations, le certificat contient en plus une raison sociale et un pays. Cette information n’apparaît que sur les certificats à validation renforcée, dont la délivrance suppose une vérification d’identité. Sa présence est un bon signe ; son absence ne prouve rien, la plupart des sites parfaitement légitimes s’en passant.
Ce qui remplace le cadenas pour juger un site
Puisque le cadenas ne tranche plus rien, il faut regarder ce qu’il vérifie sans le dire : le nom de domaine. C’est là que se joue l’essentiel des tromperies, et c’est le seul terrain où un visiteur dispose d’informations publiques.
Relire l’adresse caractère par caractère
Une lettre doublée, un tiret ajouté, une extension inhabituelle suffisent. Repérez surtout ce qui précède immédiatement le premier point après le nom de marque : c’est le vrai propriétaire de l’adresse, et un nom de marque placé en sous-domaine ne prouve rien du tout.
Regarder l’âge du domaine
La date de création d’un nom de domaine est publique : elle se consulte via une requête WHOIS, sur le site d’un bureau d’enregistrement ou d’un registre d’extension. Une boutique qui promet des prix cassés sur une adresse enregistrée trois semaines plus tôt mérite une hésitation.
Deux vérifications complètent le tableau sans demander de compétence particulière : la présence de mentions légales avec une identité et des coordonnées vérifiables, et la nature des moyens de paiement acceptés — un virement direct, une cryptomonnaie ou une carte cadeau pour un achat courant sont des circuits sans recours possible.
Aucun de ces indices ne suffit isolément. Mais ils disent quelque chose du site, ce que le cadenas n’a jamais fait.
Le cadenas signifie-t-il que le site est fiable ?
Non, et c’est le malentendu le plus répandu. Il atteste que la connexion est chiffrée et que le certificat correspond au domaine affiché, rien de plus. Concrètement, un site frauduleux peut l’afficher aussi bien qu’un site légitime : la présence du cadenas ne doit donc jamais peser dans votre décision de saisir un mot de passe ou un numéro de carte.
Quelle est la différence entre SSL et TLS ?
SSL est l’ancien protocole, retiré de la circulation depuis des années pour des raisons de sécurité. Le protocole réellement utilisé aujourd’hui s’appelle TLS. L’expression « certificat SSL » est restée dans le langage courant, y compris commercial, mais elle désigne bien un certificat TLS. La distinction n’a aucune conséquence pratique pour un visiteur.
Puis-je passer outre un avertissement de certificat ?
Techniquement oui, tous les navigateurs le permettent. En pratique, cela dépend de ce que vous alliez faire. Sur une page de consultation où vous ne saisissez rien, le risque est faible. Sur une banque, une messagerie ou une boutique, l’avertissement doit vous faire fermer l’onglet : c’est exactement la situation qu’une page d’imitation cherche à provoquer.
Pourquoi tous les sites m’affichent-ils soudain une erreur de certificat ?
Quand l’alerte touche tous les sites d’un coup, la cause est presque toujours locale, et le plus souvent la date de votre appareil. La validité d’un certificat se calcule par rapport à l’horloge de la machine : si elle est fausse, tous les certificats paraissent invalides. Remettre la date et l’heure à jour règle le problème immédiatement.
Que signifie « autorité de certification inconnue » ?
Que le navigateur ne reconnaît pas l’organisme qui a signé le certificat. Trois causes principales : un certificat auto-signé, fréquent sur des équipements internes ; un logiciel installé sur votre machine qui inspecte le trafic chiffré, comme certains antivirus ; ou un réseau qui fait la même chose, ce qui est courant en entreprise et beaucoup plus inquiétant sur un réseau public.
Comment savoir à qui appartient réellement un site ?
Le certificat ne vous le dira que sur les rares sites disposant d’une validation renforcée, qui affichent alors une raison sociale et un pays. Pour tous les autres, le nom de domaine lu caractère par caractère, les mentions légales, les coordonnées vérifiables et les données publiques d’enregistrement du domaine restent les seules sources exploitables par un visiteur.
Un cadenas fermé sur une adresse qu’on n’a pas relue ne protège de rien. C’est l’adresse qui mérite les trois secondes d’attention, pas l’icône.