HTTPS : Faut-il y passer en 2017 ?

Ce matin, j’ai reçu un mail de la part d’un client qui a lui-même reçu une demande d’un de ses visiteurs concernant le HTTPS. En effet, l’internaute semblait avoir un doute, semblait même avoir une sorte de peur que le site ne soit pas sécurisé, notamment à cause des premiers avertissements sur Google Chrome stipulant l’absence de sécurité optimale.

Faut-il passer en HTTPS ? Un site en HTTP est-il vraiment non sécurisé ? Que de questions qui me pousse à ouvrir le débat en cette fin d’année en donnant mon avis et en vous demandant le vôtre : Dois-ton passer tous les sites en protocole sécurisé en 2017 ?

Ce qu’on sait sur le HTTPS

Actuellement, nous sommes pour moi en transition. Auparavant, beaucoup de sites étaient en HTTP et ne passaient pas en HTTPS, car les certificats SSL étaient trop chers ou parce qu’il n’en voyait pas l’utilité pour leurs projets.

Personnellement, je trouve cet avis tout à fait viable pour l’époque.

Pour un site e-commerce, on est d’accord que des données sensibles transitent et qu’il y a des gens qui achètent des produits, qui passent des commandes, etc… C’est nécessaire le HTTPS dans ce cas.

Maintenant, pour un site qui fait que de l’information sans aucune fonctionnalité particulière (tu lis juste), j’avais du mal à y trouver un intérêt. Même pour le SEO, je ne remarque pas de boost significatif dès le passage en protocole sécurisé.

Comme je le disais il y a quelques temps sur ce blog, 70% du web et des réseaux ne sont pas sécurisés. Si quelqu’un veut vous attaquer, il le fera, d’une manière ou d’une autre. Passer en HTTPS peut vous permettre de crypter un minimum les données, etc… Mais ça n’empêchera pas le piratage de la part des petits lamers qui n’ont rien à faire de leur vie.

Je vais vous confier un secret. Depuis des mois je me fais attaquer par des gens sur la page de login et via le système de ping de WordPress. Je ne sais pas si c’est une seule et même personne, si c’est volontaire ou non, ou encore si c’est un bot ! Cela dit, HTTPS n’aurait rien changé pour un site comme le mien.

Bref, aujourd’hui, nous sommes en transition et Google Chrome, Mozilla Firefox, etc.. Commencent a mettre des messages comme quoi « ce site n’est pas sécurisé ». Comme dirait Fabien, aujourd’hui c’est le petit avertissement, demain ça sera la grosse popup !

Avec l’arrivée de certificats gratuits comme « Let’s Encrypt », la simplicité des migrations HTTP vers HTTPS, on doit réellement se poser la question. Cela dit, est-ce que TOUS les sites doivent y passer. Voici mon avis.

Faut-il passer en HTTPS ?

Il y a quelques mois, ma recommandation concernant le HTTPS était de passer obligatoirement les sites avec des données sensibles, ou les sites ayant besoin de confiance (donc avec des gens qui regardent la barre d’adresse régulièrement) en HTTPS.

En effet, je n’ai pas noté de changements spécifiques ou de retours particuliers sur des sites éditoriaux, même sur des sites où la recherche est beaucoup utilisée. Cela dit, si ces sites sont prêts à y passer, c’est avec plaisir. Clairement, on en parle et la question est abordée.

Maintenant, je dois dire que le genre de message comme celui que j’ai reçu aujourd’hui me laisse encore un peu plus perplexe pour le web en général :

Depuis quelque temps, à la place du petit cadenas, j’ai un ! entouré d’un cercle à côté de l’adresse du site. […]

[…] Sélectionnez la barre d’adresse.
Supprimez http://, puis saisissez https:// à la place.
Si cela ne fonctionne pas, contactez le propriétaire pour lui demander de sécuriser son site et vos données avec le protocole HTTPS.

Peux-tu me dire pourquoi le site du forum ne semble plus sécurisé ? […]

Cette personne est un habitué du site, ça se voit en lisant l’entièreté du message. La véritable question qu’il faut se poser c’est « Est-ce que cette personne est seule à voir cela, à y prêter attention ? » sachant que le site ne vend strictement rien, ne propose que des articles de blog et un forum public.

Si c’est une exception, on a juste à lui expliquer qu’on en a pas réellement besoin (encore que sur un forum c’est déjà un peu plus sensible). Par contre, si tout le monde pense que le site n’est pas sécurisé, je dirais qu’il faut vraiment commencer à y passer, tous sites confondus.

Comme je dis souvent, si on n’est pas sur et qu’on doute, autant nous enlever ce doute en faisant une action.

Conclusion

Je pense que c’est à traiter au cas par cas, car je vois mal certains de mes clients passer en HTTPS dès maintenant (de par la technologie obsolète, les changements que ça pourrait faire et l’inutilité d’une telle chose dans certains cas). Maintenant, j’essaye d’en passer un maximum. Quand on est face à une réalité comme un internaute qui se demande si le site est sécurisé, on doit en prendre soin et faire en sorte qu’il se sente bien chez nous, en sécurité, en confiance.

Donc les sites à données sensibles et ceux qui ont besoin de confiance, je les passe en force/obligatoirement en HTTPS. Les autres sites, je dis que c’est une bonne chose et que ça ne coûte rien d’y passer aujourd’hui. Par rapport à il y a quelques mois, je pense que j’insiste plus et que je mets en avant ces avertissements provenant de Chrome, etc.

Et vous ? Qu’en pensez-vous ?