Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Chrome va stigmatiser les sites non HTTPS

abecidofugy

@tiramiseb : tu parlais de cette offre là, à 12 euros ? https://www.gandi.net/ssl/standard#single

Si j'ai le NDD chez OVH, ça marche quand même le certificat SSL chez Gandhi ?

tiramiseb

Donc je vais devoir me taper des redirections et une baisse de trafic pour motif d'éthique.

Tu peux faire ça progressivement. Je doute que Chrome fasse quelque chose de trop intrusif, étant donné que la majorité des sites sont en HTTP. Peut-être une petite icône rouge dans la barre d'adresses, ce qui est encore acceptable.

Concernant les redirection, oui c'est méga chiant. J'en sais quelque chose, je me traîne, sur mon site web, des redirections d'anciennes adresses de mes différentes pages, histoire de favoriser le référencement.

Pour la baisse de trafic, j'en doute. En terme de référencement et de fréquentation, je pense que cela ne changera rien si tu fais bien tes redirections.

-----

@tiramiseb : tu parlais de cette offre là, à 12 euros ? https://www.gandi.net/ssl/standard#single

Ouaip, c'est celle que j'utilise à titre pro.
À titre perso je commence à me mettre à StartSSL.

Si j'ai le NDD chez OVH, ça marche quand même le certificat SSL chez Gandhi ?

Oui, c'est totalement indépendant.
Cela dit, tu peux déménager ton DNS chez Gandi aussi 😉

voxpopuli

Si je ne me trompe pas, je crois qu'avec le vhost suivant (pour apache2), on peut redirigées les requêtes HTTP en HTTPS de façon "indolore" (il me semble qu'on tombe bien sur la page demandée mais au lieu de l'avoir en HTTP on ne l'a qu'en HTTPS).

NameVirtualHost *:443
<VirtualHost *:80>
ServerName YourName
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}
</VirtualHost>
<VirtualHost *:443>
DocumentRoot /var/www/
ServerName YourName
SSLEngine on
SSLCertificateFile /etc/ssl/certs/ssl-cert-snakeoil.pem
SSLCertificateKeyFile /etc/ssl/private/ssl-cert-snakeoil.key
</VirtualHost>

Pour que cette config fonctionne il faut activer "ssl" et "rewrite"

sudo a2enmod ssl
sudo a2enmod rewrite

Tiramiseb pourra peut-être corrigée si j'ai fais une erreur 🙂 Avec ce genre de config si je ne m'abuse les robots ne seront pas troublé lors de leurs passages pour le référencement.

tiramiseb

voxpopuli: attention, pour le référencement il faut voir si le bon code d'erreur est retourné. Je n'ai pas approfondi la question et je ne suis pas professionnel du référencement, je ne connais que la théorie de ces aspects-là...
Peut-être faut-il un code d'erreur différent selon que la page existait à l'origine ou non... je ne sais pas...

voxpopuli

tiramiseb a écritvoxpopuli: attention, pour le référencement il faut voir si le bon code d'erreur est retourné. Je n'ai pas approfondi la question et je ne suis pas professionnel du référencement, je ne connais que la théorie de ces aspects-là...
Peut-être faut-il un code d'erreur différent selon que la page existait à l'origine ou non... je ne sais pas...

D'après Stephane Bortzmeyer un pro du référencement c'est un charlatan ^^ D'après lui personne n'a vraiment vérifié le comportement des moteurs de recherchent (qui, comme il le précise, ont des comportement souvent modifié et tenu secret afin d'éviter les tricheurs).
Je me dis que si un robot suit un lien et que ce lien mène a la bonne information qu'il cherche/crawl, en théorie il devrait "être content" 🙂

l'article de bortzmeyer : http://www.bortzmeyer.org/seo-principes.html

tiramiseb

Je me dis que si un robot suit un lien et que ce lien mène a la bonne information qu'il cherche/crawl, en théorie il devrait "être content"

C'est également ma connaissance théorique. Mais je ne sais pas comment réagira un robot si on lui donne une redirection pseudo-valide pour n'importe quelle adresse pour finalement le renvoyer vers une erreur la plupart du temps.
Cela dit, moi-même j'ai des redirections globales, des trucs similaires à ce que tu as montré, hein...

αjet

@Anne118: tu peux tres bien servir en http et https en parallele. Attention toutefois si tu fais reference a des ressources externes (exemple: images ou videos hebergees sur un autre site), fait bien en sorte qu'elle soient accessibles en https, faute de quoi le navigateur renvera un alerte signalant que du contenu n'est pas chiffre.

Par ailleurs, penses bien a desactiver les protocoles et suites de chiffrement faible et active le perfect forward secrecy. Une source (en anglais):
https://www.digicert.com/ssl-support/ssl-enabling-perfect-forward-secrecy.htm

Je souhaite aussi rebondir sur la premiere reponse d'Elzen.

Elzen a écrit utiliser du https plutôt que du http simple n'a strictement aucune utilité, puisque la seule chose que tu envoies dans ce cas est l'URL, qui est de toute façon transmise en clair.

C'est pas tout a fait vrai: seuls le protocole, le nom de domaine et eventuellement le numero de port sont envoyes en clair. Le chemin de la ressource (tout ce qui est apres le 1er /, inclus) est transmise au serveur de maniere chiffree. Donc pour en revenir a ce qui est dit plus haut, une personne tierce ne vera que le domaine consulte, ce qui n'est pas suffisent pour savoir quelle resource particuliere a ete consulte, sans casser le chiffrement. Apres c'est sur que si le site en question a un contenu limite et tres specialise, il restera facile a devine le contenu de la transaction...

Ainsi il faudra privilegier des sites assez generalistes (par exemple wikipedia en https), il en sera d'autant plus difficile pour qu'un eventuel indesirable curieux puisse identifier l'objet de votre consultation.

renaud07

Nous sommes en 2015 et je n'ai toujours pas de message signalant que la connexion n'est pas sécurisée, aurait-ils fait machine arrière chez Google ? A moins que ce soit encore trop tôt ?

[supprimé]

renaud07 a écritNous sommes en 2015 et je n'ai toujours pas de message signalant que la connexion n'est pas sécurisée, aurait-ils fait machine arrière chez Google ? A moins que ce soit encore trop tôt ?

Ils ont dit "en 2015" pas "comme cadeau du Nouvel An".

tiramiseb

Je tiens quand même à souligner quelque chose : cette discussion est basée sur deux sources :
- un article qui prétend qu'une telle alerte apparaîtra en 2015 dans Chrome, sans citer aucune source ;
- un article qui parle du référencement du moteur de recherche Google, qui privilégie le HTTPS, mais qui ne parle pas de Chrome.

Et là on papote, on papote, on papote mais on n'a pas encore une seule info officielle.

J'ai alors un peu cherché et je suis tombé sur cette page du projet Chromium :
http://www.chromium.org/Home/chromium-security/marking-http-as-non-secure

Ce projet propose que les navigateurs (et pas seulement Chrome) changent graduellement leur interface pour présenter les sources HTTP comme non-sûres. Il est indiqué qu'ils prévoient de commencer à déployer un plan de transition pour Chrome en 2015.

Ensuite, quand on lit le détail, ça parle bien de la barre d'URL, de ce qui s'y affiche quand on est sur un site sûr ou sur un site non sûr, d'une simple indication et pas d'un « message d'avertissement ».

En fait, l'article d'origine de notre discussion, c'est juste n'importe quoi...

[supprimé]

Merci, je sais à quel site je ne dois plus faire confiance 🙂

abecidofugy

Ah ok, donc il n'y aura pas de pop-up comme lorsqu'on a un certificat auto-signé ? Si c'est juste un cadenas ouvert par exemple dans la barre d'url, c'est acceptable 😉

tiramiseb

À ce que j'ai compris, si jamais ils le font, alors quand ils le feront ce serait probablement quelque chose comme ça, peut-être. Menfin pour l'instant c'est juste un projet, a priori...

« Page précédente