Qu’est-ce qu’un certificat SSL ?

Un certificat SSL (Secure Sockets Layer) ou TLS (Transport Layer Security) est un certificat numérique qui est lié, par exemple, à un nom de domaine.
Il permet de garantir un chiffrement des données entre le navigateur du client et le serveur sur lequel il se connecte par un principe de clé publique et clé privée.

Pour expliquer simplement le principe de fonctionnement du SSL on pourrait utiliser l’image suivante  :
Je dispose d’une boite avec un cadenas et une clé.
J’envoie la boite à mon contact avec le cadenas ouvert.
Il met dedans le document qu’il souhaite me transmettre, puis ferme la boite avec le cadenas.
J’ai conservé la clé, je peux donc ouvrir la boite.
Personne n’a intercepté ma donnée car je suis le seul à disposer de la clé.
Le cadenas représente ici la clé publique d’un certificat SSL, la clé du cadenas représente la clé privée.

L’élément important dans un certificat SSL, c’est également qu’il est certifié par une organisation tierce appelée « racine de confiance » , qui permet de vérifier et garantir qu’un certificat est bien lié à un nom de domaine.

Il y a donc 2 principes dans un certificat SSL pour un site web : le chiffrement et la garantie de la racine de confiance.

Quels sont les intérêts de l’utilisation d’un certificat SSL pour protéger son site internet ?

Sécurisation des échanges et identification de l’éditeur du site

L’ intérêt principal est de permettre d’échanger des données, entre le navigateur du client et le serveur de façon sécurisée, elles sont chiffrées de bout en bout, afin d’éviter une attaque de type MITM (man-in-the-middle) ou « attaque de l’homme du milieu ». Cette attaque consiste pour un pirate à intercepter des échanges entre deux ordinateurs pour récupérer des données.

De plus, via la racine de confiance, la présence d’un certificat SSL garantit à l’internaute que l’identité du serveur destinataire est probante. Cela permet de vérifier, par exemple, que le site est bien édité par l’entreprise qu’il dit représenter, et qu’il n’usurpe pas l’identité de cette dernière en utilisant un nom de domaine trompeur (faux site Paypal, faux site bancaire, etc.).

Conformité RGPD

Ces deux points permettent d’être en conformité avec le RGPD (Règlement général sur la protection des données) qui requiert entre autres de sécuriser les données personnelles, et recommande pour ce faire d’utiliser des méthodes telles que la pseudonymisation et le chiffrement.

Référencement et confiance

Enfin, avoir un certificat SSL sur son site web permettra aussi un meilleur référencement, la politique des moteurs de recherche étant de favoriser les sites HTTPS , ainsi que de donner confiance à ses visiteurs, qui sont désormais conscients que la présence du cadenas dans la barre d’adresse du navigateur et du HTTPS sont des éléments à prendre en compte pour une navigation sécurisée.

Pourquoi Icodia ne conseille pas de certificat SSL gratuit sur des sites en production ou ne le propose pas sur ses offres mutualisées ?

Nous avons fait le choix de ne pas proposer les certificats SSL gratuits (comme Let’s Encrypt) sur des environnements en mutualisés et en production pour différentes raisons.

Certaines autorités racines proposant des certificats gratuits ne vérifient pas l’authenticité et la validité des certificats SSL par rapport à leur émetteur. Cela signifie que ces derniers ne vérifient ni l’identité du demandeur, ni le contenu du site derrière le nom de domaine.
Ainsi, une personne malveillante pourrait acquérir un nom de domaine de type « paypal-web-online.com », alors qu’elle n’a aucun lien avec Paypal, y installer un certificat SSL gratuit et l’utiliser pour tromper ses victimes dans le cadre d’une campagne d’hameçonnage.

Les certificats proposés par Icodia sont émis par des autorités racines de premier niveau. Chaque réservation d’un certificat fait l’objet de vérifications de la part de nos services technique et juridique. Aucune suite n’est donnée à d’éventuelles demandes de personnes malveillantes qui souhaiteraient réserver des certificats SSL liés à des noms de domaines choisis pour tromper les utilisateurs finaux.

Tous nos certificats disposent de garanties, comme le « trust logo » qui peut être affiché sur le site client. Il s’agit d’un lien qui permet de faire vérifier par l’autorité racine la validité du certificat et du site pour chaque visiteur qui le souhaite.

Les certificats proposés par nos services disposent également d’un support dédié 24/7/365, d’un chiffrement robuste SHA2 et ECC ainsi qu’une garantie financière (à partir de $10 000). Cette garantie protège l’utilisateur final : il s’agit du montant que l’organisme racine SSL rembourse si notre client subissait une perte financière due à un certificat émis erronément, lié à la responsabilité de l’autorité racine.

De plus, nos certificats SSL seront installés par nos techniciens sur votre VHOST si le serveur est également chez Icodia, limitant le besoin de maîtrise technique pour nos clients.