Bases de HTTP et HTTPS

HTTP (protocole de transfert hypertexte) est le fondement des communications sur le Web. Il définit la manière dont les navigateurs demandent des ressources aux serveurs et dont les serveurs répondent. HTTP est sans état : chaque requête est indépendante.

Une requête HTTP comporte :

• Méthode : GET, POST, PUT, DELETE, PATCH, OPTIONS
• URL : chemin de la ressource
• En-têtes : métadonnées (Content-Type, Authorization, User-Agent)
• Corps : données envoyées avec les requêtes POST/PUT

Une réponse HTTP comprend :

• Code d’état : 200 OK, 301 Redirection, 401 Non autorisé, 403 Interdit, 404 Introuvable, 500 Erreur du serveur
• En-têtes : Content-Type, Set-Cookie, en-têtes CORS
• Corps : HTML, JSON ou autre contenu

Méthodes HTTP et conséquences en matière de sécurité :

• GET — doit être en lecture seule ; les paramètres de l’URL sont consignés
• POST — envoie les données dans le corps ; n’est pas sécurisé par nature
• PUT/DELETE — doivent être protégées par une authentification
• OPTIONS — révèle les méthodes autorisées ; peut révéler une mauvaise configuration

HTTPS = HTTP + chiffrement TLS. Il fournit :

• Chiffrement : les données en transit sont chiffrées (confidentialité)
• Intégrité : toute altération est détectée via MAC
• Authentification : l’identité du serveur est vérifiée au moyen d’un certificat

Sans HTTPS, toutes les données, y compris les mots de passe et les jetons de session, sont visibles pour les personnes qui espionnent le réseau.

Lorsque vous vous connectez à un site HTTPS :

1. Le client envoie les suites cryptographiques prises en charge
2. Le serveur envoie le certificat et la suite cryptographique choisie
3. Le client vérifie le certificat auprès des autorités de certification de confiance (CA)
4. L’échange de clés établit une clé de session partagée
5. La communication chiffrée commence

En-têtes de réponse importants pour la sécurité :

• Strict-Transport-Security (HSTS) — force l’utilisation de HTTPS
• Content-Security-Policy (CSP) — contrôle les ressources qui peuvent être chargées
• X-Frame-Options — empêche le détournement de clics
• X-Content-Type-Options — empêche la détection automatique du type MIME

HTTP est sans état ; les sessions sont donc suivies au moyen de témoins de connexion. Attributs sécurisés des témoins :

• HttpOnly — non accessible par JavaScript (empêche le vol par XSS)
• Secure — envoyé uniquement via HTTPS
• SameSite=Strict/Lax — empêche les attaques CSRF

HTTPS chiffre uniquement le canal, pas le contenu. Un site d’hameçonnage peut utiliser HTTPS (l’icône du cadenas) tout en hébergeant du contenu malveillant. HTTPS confirme l’identité du serveur, mais pas sa fiabilité.

Les versions modernes de HTTP améliorent les performances :

• HTTP/2 — multiplexage, compression des en-têtes et envoi initié par le serveur via TLS
• HTTP/3 — utilise QUIC (fondé sur UDP) pour réduire la latence, en particulier sur mobile

Les deux nécessitent TLS. Leurs implications en matière de sécurité sont similaires à celles de HTTP/1.1, mais la surface d’attaque évolue légèrement.

Outils d’analyse du trafic HTTP :

• Burp Suite — intercepter et modifier les requêtes et les réponses
• curl — envoyer des requêtes depuis la ligne de commande
• Wireshark — capturer le trafic brut (HTTP visible ; HTTPS chiffré)

Quel attribut de témoin HTTP empêche le témoin d’être accessible par JavaScript et le protège ainsi contre le vol par XSS ?

HTTP est la base des communications sur le Web. HTTPS ajoute le chiffrement TLS, l’intégrité et l’authentification du serveur. Les en-têtes de sécurité renforcent les applications Web. Les témoins doivent être marqués HttpOnly, Secure et SameSite. Retenez ceci : HTTPS chiffre le canal, mais ne garantit pas qu’un site soit digne de confiance.