Introduction
Si vous avez été sensibilisé un minimum à la sécurité sur Internet, vous savez que certains sites représentent un danger. Alors, comme on vous l’a sûrement dit et répété, vous regardez probablement dans la barre d’adresse du navigateur pour chercher le précieux petit cadenas, “symbole de sécurité et de navigation sans risque”.
Vous verrez ce petit cadenas sur le site de votre banque, sur votre site marchand préféré, sur les sites gouvernementaux, etc.
Mais aujourd’hui, on le trouve également sur la majorité des sites que vous allez visiter comme par exemple le mien :
Mais également sur tous les faux sites qui hantent Internet et qui n’ont qu’un seul objectif, voler vos données confidentielles (mots de passe, numéros de cartes bancaires etc.).
Parfois ces faux sites sont très bien réalisés et réussiront à tromper votre vigilance.
Alors, savez-vous vraiment ce que signifie ce cadenas ? Savez-vous quelle information il vous donne en réalité ?
- que vous êtes en sécurité ?
- que vous êtes sur un site sécurisé ?
- que vous êtes tout simplement sur un site sûr et digne de confiance ?
Et bien, c’est un peu plus compliqué que ça.
La vraie signification du cadenas
La présence du petit cadenas indique une seule chose : la communication entre VOUS et le SITE est sécurisée, on dit qu’elle est chiffrée.
Au contraire, l’absence de cadenas indique que la communication s’effectue en clair sur le réseau, elle n’est pas sécurisée.
Ok, mais ça veut dire quoi exactement ? S’il y a un cadenas sur le site, le site est-il fiable ou pas ?
Pour répondre à cette question, nous allons faire une analogie simple.
Connexion non sécurisée (absence du cadenas)
Imaginez vous en vacances. Vous envoyez une carte postale à la famille… Cette carte postale est destinée uniquement à votre famille et à personne d’autre mais …. Cette carte postale, n’importe qui peut l’intercepter et lire son contenu. Elle ne bénéficie d’aucune protection.
C’est ce qui se passe quand vous utilisez un site sans le petit cadenas. Tout ce que vous envoyez sur ce site circule en clair sur le réseau et peut être intercepté facilement.
Connexion sécurisée (présence du cadenas)
Deuxième option, vous envoyez votre carte postale dans un coffre-fort livré en main propre. Seul votre destinataire connaît le code qui ouvre le coffre.
La transmission de votre lettre est donc ici très sécurisée et vous avez la garantie que seul votre destinataire pourra entrer en possession du contenu de votre carte.
C’est ce qui se passe quand vous utilisez un site qui affiche ce petit cadenas. La transmission de vos informations est sécurisée du début à la fin.
Oui mais …
Et oui, il y a un MAIS. Dans les deux cas, on parle juste du TRANSPORT de votre information. Rien d’autre.
Le cadenas, un symbole trompeur
Vous commencez à voir où je veux en venir ?
Faisons un petit point d’histoire.
Ce type de transport de l’information de manière sécurisée a été mis en place en 1998 par deux sociétés : Netscape et Mastercard. La première, si vous êtes de la génération des millennials, vous ne savez probablement même pas ce que c’est. Mais MasterCard, vous connaissez, le logo s’affiche probablement sur votre carte bancaire.
À cette époque, les achats sur Internet deviennent de plus en plus importants et il était important de protéger des informations sensibles comme les numéros de carte bancaires, les codes, etc.
En 2018, 15 % des internautes français ont fait des achats en ligne mais 74 % prévoyaient de faire leurs achats sur Internet pour leurs cadeaux de Noël. — source 01Net.
De nos jours, il n’y a pas que les informations bancaires qui sont sensibles. Vous l’entendez souvent à la télé, à la radio, sur Internet, toutes vos informations personnelles sont devenues des données sensibles, à commencer par votre adresse email pour ne citer qu’elle.
En 2014, le moteur de recherche Google met en place un système qui pénalise les sites qui n’utilisent pas les échanges sécurisés — ils sont moins bien référencés que les sites sécurisés — et les navigateurs rivalisent d’ardeur pour afficher des fenêtres toutes plus effrayantes les unes que les autres dès que vous vous connectez à un site qui n’est pas en https (https et cadenas, c’est pareil).
Dès lors, tout possesseur de site internet qui se respecte, qu’il soit honnête ou non, se doit d’utiliser les échanges sécurisés.
De nos jours
Vous l’avez compris, de nos jours, la quasi totalité des sites Internet, qu’ils soient honnêtes ou non, que ce soit le site de votre banque, le site du garage d’à côté, le site des impôts ou un site malveillant destiné à voler vos informations personnelles, tous possèdent ce petit cadenas.
Une étude menée en 2021 indique que 93% des sites malhonnêtes qui tentent de voler vos données avaient bel et bien le petit cadenas dans la barre d’adresse !
D’ailleurs, sachez que pour pouvoir utiliser une connexion sécurisée et donc afficher ce petit cadenas, il n’en coûte que la somme de … 0 euros. Et oui, c’est totalement gratuit dans la plupart des cas.
Mon site internet, https://kitcreanet.fr, récupère certaines informations. Par exemple, quand vous m’écrivez via mon formulaire ou quand vous vous abonnez à ma lettre d’information, je récupère certaines de vos informations personnelles : un prénom, un mail, etc.
Grâce au chiffrement des données, en d’autres termes plus simples, grâce au cadenas, vous savez qu’entre vous et moi, personne d’autre ne pourra accéder à ces informations.
La présence de ce cadenas est donc devenue la norme. Mais ce n’est absolument pas un signe d’absolue sécurité.
Alors ce cadenas, il ne sert à rien ?
Pas du tout ! Il est absolument nécessaire !
Quand vous vous connectez à votre banque, sur votre compte Amazon ou même sur mon site, c’est ce cadenas qui vous garantit que les infos que vous envoyez, seul le véritable destinataire y aura accès.
Il faut juste garder à l’esprit que ce cadenas sécurise seulement les transferts d’information, il ne garantit pas que le site sur lequel vous vous trouvez est un site fiable et la seule présence de ce cadenas ne doit pas conduire à une perte de vigilance de votre part.
C’est la confusion entre la sécurité du transport de l’information et la légitimité du destinataire des données personnelles qui est dangereuse.
—
Prenez cette capture d’écran d’un faux site des impôts. Il y a un cadenas mais on voit bien que l’adresse est fausse ! Si vous mettez vos codes d’accès pour les impôts dans un formulaire de ce site, vos informations sont bel et bien protégées pendant le transport, mais elles vont arriver directement dans les mains d’un pirate informatique, avec tous les désagréments que celà suppose.
Tous les faux sites ne sont pas aussi faciles à détecter…
En conclusion
Bien sûr, la présence du cadenas est une information importante qu’il faut absolument vérifier lorsque vous échangez des données avec un site internet. Mais plus que la présence de ce cadenas, c’est l’adresse du site que vous devez vérifier(1) avec soin car vous l’aurez compris, la seule présence de ce cadenas n’est pas une preuve de sécurité suffisante.
(1) je ferai un article détaillé sur ce point prochainement.
Les pirates informatiques sont des gens malins et bourrés d’imagination et ils savent mettre en place des pièges élaborés dans lesquels il est facile de tomber. Le petit cadenas est devenu bien malgré lui leur allié car la plupart des gens pensent que si le cadenas est là, alors tout va bien. Grâce à cet article vous savez maintenant que ce n’est pas le cas et que même si ce cadenas s’affiche dans la barre d’adresse, tout risque n’est pas écarté.
Gardez à l’esprit les quelques recommandations suivantes :
- Votre mot de passe, il n’y a que vous qui le connaissez ; aucun organisme ne vous demandera jamais de taper votre mot de passe dans un formulaire. Si on vous demande votre mot de passe c’est qu’on est en train de vous le voler ! Lorsque l’on perd un mot de passe, en général, il y a une procédure pour en créer un nouveau.
- Si vous recevez un message alarmiste par SMS avec un lien sur lequel on vous demande de cliquer rapidement pour régler un problème sur votre banque, sur le site des impôts, votre compte Dropbox ou Paypal, ne cliquez pas. Utilisez votre ordinateur personnel, celui sur lequel vous vous connectez habituellement et rendez-vous sur le site de l’organisation directement sans passer par les liens qui vous sont proposés. Encore mieux, appelez directement par téléphone !
- Utilisez toujours vos favoris pour vous connecter à vos sites connus plutôt que les liens que vous recevez par SMS ou par mail.
- Si c’est trop beau, c’est probablement faux !
- Un lien peut en cacher un autre ! Soyez prudent avec les liens car ils peuvent cacher facilement leur identité ! Par exemple, si vous cliquez sur ce lien, vous n’arriverez pas chez Paypal mais sur mon site.
https://www.paypal.com/fr/home
Pour vérifier un lien, placez votre curseur dessus [ SANS CLIQUER ] et regardez la barre d’état de votre navigateur, la destination réelle apparaîtra :
