Qu'est-ce que le TLS (Transport Layer Security) ?

Si ton entreprise gère des paiements, recueille des informations sur ses clients ou exploite un site web qui va au-delà d'une simple vitrine statique, le protocole TLS te protège déjà. Le Transport Layer Security (TLS) est cette technologie invisible qui transforme « http » en « https » et préserve la confidentialité des données de tes clients lors de leur transit sur Internet. Ce guide explique ce qu'est le TLS, pourquoi il est important pour ton entreprise, comment il a évolué au fil des ans et quel rôle joue ton hébergeur pour le maintenir à jour.

Qu'est-ce que le TLS et en quoi est-ce important pour ton entreprise ?

Le protocole TLS (Transport Layer Security) est un protocole de sécurité qui crypte la connexion entre le navigateur d'un visiteur et ton site web. Tout ce qui est transmis via cette connexion, y compris les identifiants de connexion, les numéros de carte bancaire, les formulaires de contact envoyés et les informations de compte, est crypté pendant le transfert afin qu'aucun intermédiaire ne puisse en prendre connaissance.

Pour un chef d'entreprise, le TLS offre trois avantages concrets :

• Ça protège les données de tes clients, ce qui t'évite de faire la une des journaux à cause d'une fuite de données.
• Le préfixe « https » est un gage de confiance.
• Il répond aux exigences réglementaires et de conformité qui s'appliquent à presque tous les sites web modernes.

Ce dernier point est plus important que ne le pensent beaucoup de propriétaires de sites. Le RGPD, la norme PCI DSS et la loi HIPAA exigent tous des « mesures techniques appropriées » pour protéger les données personnelles, et le chiffrement TLS fait partie des mesures de base attendues par les autorités de régulation. Un site web dépourvu d'un certificat TLS valide est considéré comme un risque, et non comme une situation neutre par défaut.

Il y a aussi la simple question de la perception des clients. Les navigateurs modernes signalent tout site ne disposant pas du protocole TLS comme « non sécurisé », ce qui suffit à faire fuir la plupart des acheteurs avant même qu’ils aient eu le temps de voir ton offre.

Comment le protocole TLS a-t-il évolué à partir du protocole SSL ?

C'est à cause de l'histoire du chiffrement sur le Web que la plupart des gens continuent de parler de « SSL » alors qu'ils veulent dire « TLS ». Comprendre la différence t'aidera quand tu liras la documentation des fournisseurs ou que tu discuteras avec ton développeur.

Une brève histoire des protocoles SSL et TLS

Secure Sockets Layer (SSL) a été développé par Netscape en 1994 pour permettre les débuts du commerce électronique. SSL 1.0 n'a jamais été rendu public, SSL 2.0 présentait de graves failles, et SSL 3.0, sorti en 1996, est devenu la base sur laquelle tout le reste a été construit.

L'Internet Engineering Task Force a repris le protocole en 1999 et a publié TLS 1.0, qui succède directement à SSL 3.0. Bien que TLS soit techniquement un protocole différent, il partage les principes fondamentaux de SSL, ce qui explique pourquoi ces deux noms sont encore utilisés de manière interchangeable dans le domaine du marketing.

Cette confusion terminologique a perduré. De nombreux fournisseurs continuent de vendre des « certificats SSL », alors que ces certificats sécurisent les connexions à l'aide du protocole TLS. Le terme n'a pas suivi l'évolution de la technologie.

Principales différences entre SSL et TLS

Le protocole TLS est plus sûr que le protocole SSL à plusieurs égards. Il utilise des algorithmes cryptographiques modernes, des fonctions de hachage plus robustes pour vérifier l'intégrité des données, et offre une meilleure protection contre les attaques visant à forcer la connexion à revenir à une version moins sécurisée. Le protocole SSL 3.0, en particulier, est vulnérable à des attaques connues telles que POODLE.

En résumé: tous les navigateurs et serveurs actuellement en service utilisent le protocole TLS, même si le marketing parle de « SSL ». Si tu achètes un certificat, tu achètes un certificat TLS, quel que soit le nom utilisé sur la page du produit.

Comment fonctionne le protocole TLS, en termes simples ?

Pas besoin d'être un expert en cryptographie pour comprendre le protocole TLS, mais avoir une idée générale de son fonctionnement peut s'avérer utile lorsque tu lis des rapports de sécurité ou que tu discutes avec ton hébergeur.

Imagine le protocole TLS comme une enveloppe scellée munie d'une signature inviolable. Avant que l'enveloppe ne soit scellée, le navigateur et le serveur effectuent une petite vérification pour s'assurer qu'ils sont bien ceux qu'ils prétendent être. C'est ce qu'on appelle la « poignée de main ».

La négociation TLS, étape par étape

La négociation de connexion se fait automatiquement dès qu'un navigateur charge une page sécurisée. Voici ce qui se passe en coulisses :

1. Le navigateur envoie un message « Client Hello » qui répertorie les versions TLS et les méthodes de chiffrement qu'il prend en charge.
2. Le serveur répond par « Server Hello », choisit l'option la plus sécurisée prise en charge par les deux parties, puis envoie son certificat TLS pour prouver son identité.
3. Le navigateur vérifie le certificat par rapport à une liste d'autorités de certification de confiance intégrée au système d'exploitation.
4. Les deux parties s'accordent sur une clé de session commune et utilisent cette clé pour le reste de la conversation.

Tout le processus ne prend qu'une fraction de seconde. Une fois terminé, le transfert de données proprement dit commence, et tout ce qui est envoyé dans les deux sens est crypté.

Pourquoi le protocole TLS utilise deux types de chiffrement

Le protocole TLS combine deux formes de cryptographie, car chacune résout un problème différent.

Le chiffrement asymétrique est utilisé pendant la phase d'établissement de la connexion. Le serveur dispose d'une clé publique (accessible à tous) et d'une clé privée (qui reste secrète). N'importe qui peut chiffrer des données avec la clé publique, mais seul le serveur peut les déchiffrer. C'est ainsi que les deux parties s'accordent en toute sécurité sur un secret partagé sans jamais transmettre ce secret en clair.

Le chiffrement symétrique prend le relais une fois la phase d'établissement de la connexion terminée. Les algorithmes comme l'AES sont bien plus rapides que les méthodes asymétriques ; ils sont donc mieux adaptés pour gérer le flux de données proprement dit une fois la connexion établie.

C'est cette combinaison qui rend le protocole TLS à la fois suffisamment sûr et rapide pour être utilisé à chaque chargement de page. Des suites de chiffrement robustes dotées du secret parfait vers l'avant ajoutent une couche de protection supplémentaire en garantissant que, même si la clé privée du serveur venait à être volée par la suite, les sessions passées resteraient confidentielles.

Quelles sont les différentes versions de TLS, et laquelle devrais-tu utiliser ?

Le protocole TLS a fait l'objet de plusieurs mises à jour, et la version utilisée par ton serveur a des implications concrètes en matière de sécurité.

• TLS 1.0 (1999) et TLS 1.1 (2006): ces deux versions sont obsolètes. Les principaux navigateurs ont cessé de les prendre en charge en 2020. Si ton serveur les autorise encore, les outils de sécurité signaleront ton site.
• TLS 1.2 (2008): toujours considéré comme sécurisé lorsqu'il est configuré avec des suites de chiffrement modernes. C'est la version minimale requise pour la plupart des cadres de conformité actuels.
• TLS 1.3 (2018): la norme actuelle, définie dans la RFC 8446. Elle est plus rapide, plus simple et supprime les anciennes suites de chiffrement qui étaient à l'origine de la plupart des failles de sécurité passées.

Pour la plupart des entreprises, la configuration idéale consiste à activer TLS 1.2 et TLS 1.3, tout en désactivant les versions plus anciennes au niveau du serveur. Des outils comme le générateur de configuration SSL de Mozilla fournissent des paramètres prêts à l'emploi pour les serveurs web courants, et Qualys SSL Labs évalue ta configuration actuelle en une minute environ.

Si cette phrase t'a semblé être du chinois, tu es exactement le genre de chef d'entreprise qui a tout à gagner à opter pour l'hébergement géré. Tu en sauras plus ci-dessous.

Dans quels contextes ton entreprise utilise-t-elle le protocole TLS au quotidien ?

Le protocole TLS ne se limite pas aux sites web. Presque tous les services en ligne sécurisés l'utilisent en arrière-plan.

• Les sites web et les boutiques en ligne utilisent le protocole TLS via HTTPS pour sécuriser les connexions, les processus de paiement et l'envoi de formulaires.
• Le courrier électronique utilise le protocole TLS via SMTPS, IMAPS et POP3S pour garantir la confidentialité des messages pendant leur transfert. Les fournisseurs modernes rejettent les serveurs de messagerie qui refusent d'utiliser le protocole TLS.
• Les connexions VPN comme OpenVPN s'appuient sur le protocole TLS pour les employés en télétravail et les succursales.
• Les API et les intégrations entre plateformes (systèmes de paiement, CRM, outils marketing) exigent presque toujours l'utilisation du protocole TLS pour que la connexion soit acceptée.
• Les services de voix et de messagerie sécurisent les appels et les discussions grâce à des variantes du protocole TLS, comme le SIPS.

Si tu gères une activité en ligne, sous quelque forme que ce soit, tes clients, tes fournisseurs et tes employés utilisent constamment des connexions protégées par TLS, souvent sans s'en rendre compte.

Qu'est-ce qu'un certificat TLS et comment en obtenir un ?

Un certificat TLS est le document qui prouve que ton domaine est bien celui qu'il prétend être. Il contient ton nom de domaine, ta clé publique, la signature de l'autorité de certification et une date d'expiration. Les navigateurs font confiance au certificat parce qu'ils font confiance à l'autorité qui l'a signé.

Il en existe trois types courants :

• Validation par le domaine (DV): confirme uniquement que tu contrôles le domaine. Rapide, gratuit ou peu coûteux, c'est la solution idéale pour la plupart des sites de petites entreprises. Des fournisseurs comme Let’s Encrypt délivrent des certificats DV gratuitement.
• Certification « Organisation validée » (OV): nécessite la vérification de l'entreprise derrière le domaine. Une étape logique pour les entreprises qui souhaitent prouver leur identité aux visiteurs.
• Validation étendue (EV): implique le contrôle le plus rigoureux. Elle s'affichait autrefois sous la forme d'une barre d'adresse verte, mais les navigateurs modernes ne mettent plus cet indicateur en évidence.

Les certificats expirent, généralement tous les 90 jours pour les certificats gratuits et une fois par an pour les options payantes. Un certificat expiré rend ton site inaccessible à la plupart des visiteurs, c'est pourquoi le renouvellement automatique est si important. Les outils basés sur le protocole ACME gèrent cela sans intervention manuelle, et la plupart des plateformes d'hébergement de qualité s'en chargent automatiquement pour toi.

Le protocole TLS ralentit-il ton site web ?

Avant, le protocole TLS entraînait une réelle perte de performances. Ce n'est plus le cas depuis des années.

La procédure d'établissement de la connexion ajoute un léger temps de latence lors de la première connexion, mais plusieurs améliorations permettent de limiter cet impact au minimum :

• La reprise de session permet aux visiteurs qui reviennent de sauter la majeure partie de la procédure d'authentification.
• Le mode 0-RTT de TLS 1.3 permet aux données de commencer à circuler dès le tout premier aller-retour pour les visiteurs qui reviennent.
• L'agrafage OCSP élimine les allers-retours supplémentaires que les navigateurs devaient effectuer pour vérifier la validité des certificats.
• L'accélération matérielle sur les processeurs modernes gère le chiffrement AES sans pratiquement aucun impact mesurable sur l'utilisation du processeur.

Pour la plupart des sites web hébergés sur un serveur performant, la différence de performances entre HTTP et HTTPS est imperceptible pour les utilisateurs. C'est à grande échelle que les performances TLS prennent toute leur importance, notamment sur les sites de commerce électronique très fréquentés ou les API traitant des milliers de requêtes par seconde. Dans ces cas-là, une infrastructure dédiée et le transfert du protocole TLS vers du matériel spécialisé ou un hébergement sur serveur dédié permettent de maintenir des temps de réponse constants, même sous charge.

Quelles sont les exigences réglementaires qui imposent l'utilisation du protocole TLS ?

Si ton activité est soumise à une réglementation, le protocole TLS n'est pas facultatif.

• La norme PCI DSS exige l'utilisation du protocole TLS 1.2 ou d'une version supérieure pour tout système qui transmet des données de titulaires de carte.
• La loi HIPAA ne mentionne pas explicitement le protocole TLS, mais le considère comme une norme minimale pour la protection des informations médicales lors de leur transmission.
• Le RGPD exige la mise en place de « mesures techniques appropriées » pour les données à caractère personnel, et les auditeurs interprètent systématiquement cette exigence comme incluant l'utilisation du protocole TLS actuel.
• Les audits SOC 2 et ISO 27001 exigent une documentation de la configuration TLS et de la gestion des certificats.

Le problème, c'est que la conformité ne se résume pas à une simple vérification ponctuelle. De nouvelles failles de chiffrement sont régulièrement découvertes, les directives du NIST concernant le TLS sont mises à jour, et ce qui passait l'audit il y a deux ans peut très bien échouer aujourd'hui. Maintenir le TLS conforme aux normes actuelles est un travail de longue haleine.

Qui veille à ce que ta configuration TLS soit à jour ?

C'est souvent ce que les chefs d'entreprise oublient, jusqu'à ce qu'ils échouent à un test de sécurité. Le TLS n'est pas une technologie qu'on configure une fois pour toutes.

Les suites de chiffrement deviennent obsolètes. De nouvelles versions de protocoles sont publiées. Les certificats arrivent à expiration. Les normes de conformité rehaussent leurs exigences minimales. C'est à celui qui gère ton serveur qu'il incombe de suivre tout ça et d'appliquer les changements avant qu'un problème ne survienne ou qu'un audit ne soit raté.

Sur un serveur que tu gères toi-même, cette responsabilité t'incombe, à toi ou à ton développeur. Tu dois suivre les annonces des éditeurs de navigateurs, mettre à jour les bibliothèques OpenSSL, régénérer les certificats, tester les configurations de chiffrement et vérifier que rien n'a cessé de fonctionner en aval. Beaucoup de petites équipes découvrent cette liste à leurs dépens après un scan qui a échoué ou un renouvellement manqué.

L'hébergement géré change la donne. Avec l'hébergement VPS géré ou l'hébergement sur serveur dédié géré InMotion Hosting, l'équipe d'exploitation s'occupe de tout :

• AutoSSL émet et renouvelle automatiquement des certificats TLS gratuits pour chaque domaine dans cPanel.
• Les logiciels serveur, les bibliothèques OpenSSL et les configurations de chiffrement sont maintenus aux versions prises en charge.
• Les correctifs de sécurité concernant le protocole TLS sont appliqués dans le cadre du cycle de maintenance habituel.
• Les ajustements de configuration nécessaires pour répondre aux exigences des audits de conformité PCI ou autres peuvent être pris en charge par l'équipe d'assistance, sans qu'il soit nécessaire de faire appel à un ingénieur système en interne.

Pour les entreprises qui ont besoin d'un soutien supplémentaire, l'offre Premier Care comprend une surveillance proactive, une protection contre les logiciels malveillants et un accès direct aux heures de conseil d'InMotion Solutions pour les interventions liées à la sécurité et aux performances.

En clair, l'avantage, c'est que ta configuration TLS reste à jour sans que tu aies à suivre toi-même l'évolution du secteur. Tu es en conformité technique, et ton équipe peut se concentrer sur l'activité.

Le TLS, c'est la base ; l'hébergement, c'est là où tout se passe

Le protocole TLS est la norme qui permet de mener des activités commerciales en toute sécurité sur Internet. Ce protocole a évolué pour devenir un outil d'une fiabilité à toute épreuve, et la question qui se pose aujourd'hui pour la plupart des chefs d'entreprise n'est plus de savoir s'il faut l'utiliser, mais qui est chargé de veiller à ce qu'il reste correctement configuré au fil du temps.

Si, avec ta configuration actuelle, tu dois te charger toi-même du suivi des renouvellements de certificats, des mises à jour des algorithmes de chiffrement et des changements de conformité, n'hésite pas à contacter notre équipe. Les offres de serveurs VPS gérés et de serveurs dédiés InMotion Hostingincluent une assistance humaine, la maintenance de la sécurité et l'automatisation des certificats, ce qui permet de maintenir ta configuration TLS conforme aux normes en vigueur. Notre équipe d'assistance peut également t'aider à te préparer aux audits de conformité PCI ou autres sans que tu aies à te perdre dans les méandres de l'administration des serveurs.