Dans un contexte BTS CIEL ou SIO, les certificats SSL/TLS sont essentiels pour sécuriser les échanges entre un navigateur et un serveur web.
Ils garantissent la confidentialité, l’intégrité et l’authenticité des communications.
L’objectif est de :
- comprendre ce qu’est un certificat SSL
- comprendre le rôle du chiffrement
- expliquer le fonctionnement avec un site web
Notions essentielles
Certificat SSL
Fichier numérique qui permet d’identifier un serveur et de chiffrer les communications.
Il contient :
- le nom de domaine (ex : monsite.fr)
- la clé publique
- l’autorité de certification (CA)
- une signature numérique
Clé publique / clé privée
Le chiffrement repose sur une paire de clés :
- clé publique → utilisée pour chiffrer
- clé privée → utilisée pour déchiffrer
La clé privée reste sur le serveur et ne doit jamais être partagée.
Autorité de certification (CA)
Organisme de confiance qui signe les certificats.
Exemples :
- Let’s Encrypt
- DigiCert
- GlobalSign
Fonctionnement avec un site web
1. Connexion HTTPS
L’utilisateur accède à :
https://monsite.frLe navigateur demande une connexion sécurisée.
2. Envoi du certificat
Le serveur envoie son certificat SSL au navigateur.
3. Vérification
Le navigateur vérifie :
- que le certificat est valide
- qu’il correspond au domaine
- qu’il est signé par une autorité reconnue
Si tout est correct :
→ connexion autorisée
Sinon :
→ alerte de sécurité
4. Échange de clé
Le navigateur génère une clé de session (symétrique).
Cette clé est chiffrée avec la clé publique du serveur.
5. Déchiffrement
Le serveur déchiffre la clé de session avec sa clé privée.
6. Communication sécurisée
Les échanges suivants sont chiffrés avec la clé de session.
→ plus rapide que le chiffrement asymétrique
Résumé du fonctionnement
- le certificat identifie le serveur
- le chiffrement asymétrique sert à sécuriser l’échange
- le chiffrement symétrique sert pour les données
Types de certificats
Certificat autosigné
- créé localement
- non reconnu par les navigateurs
- usage interne
Certificat Let’s Encrypt
- gratuit
- reconnu
- renouvellement automatique
Certificat commercial
- payant
- garanties supplémentaires
Rôle du HTTPS
Confidentialité
Empêche l’interception des données
Intégrité
Empêche la modification des données
Authentification
Garantit l’identité du serveur
Vérification côté utilisateur
Dans le navigateur :
- cadenas affiché
- certificat consultable
- informations sur l’émetteur
Points clés
- HTTPS est indispensable en production
- le certificat identifie le serveur
- la clé privée doit rester secrète
- Let’s Encrypt est la solution standard
- le chiffrement est hybride (asymétrique + symétrique)
Suite logique
Pour aller plus loin :
- configuration HTTPS Apache
- renouvellement automatique Let’s Encrypt
- durcissement TLS (protocoles, ciphers)
- HSTS et sécurité avancée