Protocole TLS

Certificate Validation — chaîne de confiance TLS

La validation du certificat TLS est le processus par lequel le client vérifie que le serveur est bien celui qu'il prétend être. Le client vérifie : la chaîne de certification (le certificat du serveur est signé par une CA intermédiaire, elle-même signée par une Root CA présente dans le magasin de confiance du système), la validité temporelle (le certificat n'est pas expiré), le nom de domaine (le CN ou le SAN du certificat correspond au domaine accédé), et la révocation (OCSP ou CRL — le certificat n'a pas été révoqué). La Certificate Transparency (CT) logs fournit une couche supplémentaire de vérification — les navigateurs Chrome et Firefox exigent que les certificats soient dans des logs CT publics. Les erreurs TLS courantes : certificat expiré (NET::ERR_CERT_DATE_INVALID), certificat auto-signé non dans le magasin de confiance (NET::ERR_CERT_AUTHORITY_INVALID), et mismatch de nom de domaine (NET::ERR_CERT_COMMON_NAME_INVALID). Ces erreurs ne doivent jamais être ignorées — elles peuvent indiquer une attaque MITM.

HSTS — forcer HTTPS systématiquement

HSTS (HTTP Strict Transport Security, RFC 6797) est un mécanisme de sécurité qui permet à un serveur web d'indiquer au navigateur de toujours utiliser HTTPS pour accéder à ce domaine — même si l'utilisateur tape http:// ou clique sur un lien http://. Une fois que le navigateur a reçu l'en-tête HSTS (`Strict-Transport-Security: max-age=31536000; includeSubDomains; preload`), il redirige automatiquement vers HTTPS pour tous les accès futurs pendant la durée définie (1 an = 31536000 secondes), sans jamais envoyer de requête HTTP en clair. HSTS protège contre les attaques de stripping SSL où un attaquant MITM intercepte la redirection HTTP→HTTPS. L'option `preload` soumet le domaine à la liste HSTS Preload (hstspreload.org) — les navigateurs intègrent statiquement ces domaines dans leur code, offrant une protection dès la première visite. Configurer HSTS avec preload sur tous les domaines web est une bonne pratique recommandée par les guides Mozilla Observatory et SSL Labs.

Cipher Suites et configuration TLS — Mozilla SSL Configuration Generator

La configuration correcte des cipher suites TLS évite l'utilisation d'algorithmes cryptographiques faibles. Le Mozilla SSL Configuration Generator (ssl-config.mozilla.org) génère des configurations TLS optimales pour nginx, Apache, HAProxy, Tomcat, et d'autres serveurs web — en trois profils : Modern (TLS 1.3 uniquement, recommandé), Intermediate (TLS 1.2 + 1.3, compatibilité maximale), et Old (pour les systèmes legacy). Le SSL Labs SSL Test (ssllabs.com/ssltest) évalue gratuitement la configuration TLS d'un serveur web et attribue une note de A+ à F — un score A+ indique une configuration optimale (TLS 1.3, HSTS, pas de vulnérabilités connues comme BEAST, POODLE, ROBOT, DROWN). Les certificats Let's Encrypt via Certbot configurent automatiquement TLS de manière sécurisée — Certbot propose d'activer HSTS lors de la configuration initiale. L'audit régulier de la configuration TLS (au moins annuel) est recommandé pour s'assurer que les anciennes configurations vulnérables n'ont pas été réactivées.