« Votre connexion n'est pas privée » : ce que signifie réellement cet avertissement SSL

Un avertissement d’une page entière indiquant « Votre connexion n’est pas privée » est conçu pour vous arrêter net – et la plupart du temps, cela devrait être le cas. Mais l’avertissement couvre un large éventail de causes, depuis un certificat inoffensif expiré sur un site de confiance jusqu’à une tentative active d’interception de votre trafic. Savoir lequel vous regardez change ce que vous devez faire ensuite.

Qu’est-ce qui est réellement vérifié

Chaque site HTTPS présente un certificat SSL/TLS qui prouve deux choses : que la connexion est cryptée et que vous parlez réellement au domaine que vous pensez être. Votre navigateur vérifie ce certificat par rapport à une chaîne de confiance avant de charger la page. Cet avertissement signifie que la vérification a échoué : le navigateur refuse de garantir la connexion jusqu’à ce que vous en décidiez autrement.

L’écran d’avertissement nomme généralement le problème spécifique en texte plus petit : NET::ERR_CERT_AUTHORITY_INVALID, NET::ERR_CERT_DATE_INVALID, NET::ERR_CERT_COMMON_NAME_INVALID ou similaire. Ce code vous indique exactement quelle vérification a échoué.

Les causes courantes et inoffensives

Un certificat expiré. Les certificats ont une fenêtre de validité fixe (souvent de 90 jours à un an) et les propriétaires de sites manquent parfois le renouvellement. Il s’agit de la cause la plus courante ; il s’agit d’une erreur de configuration et non d’une attaque.

L’horloge de votre appareil est erronée. Les certificats ne sont valables que dans une plage de dates. Par conséquent, si la date de votre ordinateur est décalée, même d’un jour, chaque certificat peut sembler invalide, même pour les sites qui en possèdent de parfaits. Vérifiez d’abord la date et l’heure de votre système : il s’agit d’un correctif de trente secondes qui résout une part surprenante de ces avertissements.

Une incompatibilité entre le domaine et le nom du certificat. Cela se produit lorsqu’un certificat a été émis pour example.com mais que vous visitez shop.example.com, ou qu’un site a récemment changé de domaine et que le certificat n’a pas rattrapé son retard.

Un certificat auto-signé ou interne. Les outils internes, les environnements de test et les serveurs de développement locaux utilisent souvent des certificats qui ne sont pas émis par une autorité publique. Votre navigateur les signale correctement comme invérifiables, même s’il n’y a aucune intention malveillante.

La cause à prendre au sérieux

Vous êtes sur un réseau non fiable : Wi-Fi public, réseau partagé ou derrière un VPN/proxy que vous ne contrôlez pas. Voici le scénario pour lequel les avertissements SSL existent : une personne sur le même réseau intercepte le trafic et présente son propre certificat afin de pouvoir lire ce que vous envoyez. Si vous utilisez le Wi-Fi public dans un café ou un aéroport et que vous voyez soudainement cet avertissement sur un site qui se charge normalement correctement, c’est un véritable signal pour s’arrêter et ne pas cliquer.

Comment vérifier de quoi il s’agit

Avant de vous décider, parcourez ceci dans l’ordre :

1. Vérifiez l’horloge de votre système. Corrigez-la si elle est erronée, puis rechargez. Cela résout à lui seul une grande partie de ces avertissements.
2. Essayez un autre réseau : votre téléphone sur les données mobiles, par exemple. Si l’avertissement disparaît, quelque chose sur votre réseau d’origine (un portail captif, un proxy ou une véritable interception) en est la cause, et non le site lui-même.
3. Vérifiez le site à partir d’une source indépendante. Une vérification SSL côté serveur vous indiquera l’émetteur réel du certificat, la fenêtre de validité et les jours restants jusqu’à l’expiration, indépendamment de votre navigateur ou de votre réseau. S’il signale un certificat valide et actuel, votre avertissement local indique un problème de réseau ou d’horloge, et non le site. S’il signale également le certificat comme expiré ou invalide, le propriétaire du site doit réellement le renouveler.
4. Regardez vous-même les détails du certificat. Cliquez sur « Non sécurisé » ou sur la zone du cadenas dans votre barre d’adresse pour voir l’émetteur et l’expiration du certificat. Chrome et Firefox l’exposent tous deux sans avoir à cliquer au préalable sur l’avertissement.

Quand il est sécuritaire de continuer, et quand ce n’est pas le cas

Si vous avez confirmé que la cause est un certificat récemment expiré sur un site auquel vous faites déjà confiance (le lien intermédiaire de votre banque, un outil interne de l’entreprise, un site que vous utilisez depuis des années et qui vient de connaître un problème de renouvellement), la procédure est une décision de jugement à faible risque, puisque la connexion est toujours cryptée ; c’est seulement la vérification qui a échoué.

Ne continuez en aucun cas si : vous saisissez un mot de passe, des détails de paiement ou des informations personnelles ; l’avertissement est apparu soudainement sur un réseau Wi-Fi public ou inconnu ; ou l’erreur de certificat indique spécifiquement que le nom de domaine ne correspond pas à (ERR_CERT_COMMON_NAME_INVALID) plutôt que d’être simplement expiré. Les données que vous soumettez lors d’une connexion que le navigateur n’a pas pu vérifier ne sont pas garanties d’être protégées, et une incompatibilité de nom est la signature classique d’une interception plutôt qu’un bon de renouvellement.

Si vous gérez le site

Renouvelez le certificat avant son expiration : la plupart des hébergeurs et autorités de certification (y compris les hébergeurs gratuits comme Let’s Encrypt) prennent en charge le renouvellement automatique, ce qui élimine toute cette classe d’avertissement pour vos visiteurs. Si vous venez de renouveler et que les visiteurs voient toujours l’ancien avertissement, demandez-leur d’actualiser leur contenu ; les navigateurs mettent brièvement en cache les résultats de la validation du certificat.

Exécutez périodiquement une vérification SSL gratuite sur votre propre domaine pour voir l’émetteur, la validité et les jours exacts restants - détecter une expiration une semaine est beaucoup moins stressant que de le découvrir à partir de la capture d’écran d’un visiteur.