Ce petit cadenas fermé, affiché à côté de l’adresse d’un site dans la barre de votre navigateur, rassure instinctivement beaucoup d’internautes avant de saisir un numéro de carte de crédit. Pourtant, ce symbole garantit quelque chose de très précis, et surtout, il ne garantit pas certaines choses que beaucoup de gens lui attribuent à tort.
Une conversation scellée entre vous et le site
Le cadenas indique que la connexion entre votre navigateur et le site visité est chiffrée, grâce à un protocole appelé HTTPS, la version sécurisée du protocole standard utilisé pour transmettre des pages web. Concrètement, avant d’échanger la moindre information sensible, votre navigateur et le serveur du site négocient d’abord une clé de chiffrement partagée, un code secret connu uniquement de ces deux parties, qui sert ensuite à brouiller tout ce qui circule entre elles pendant la durée de votre visite.
Imaginez que vous deviez glisser une lettre à quelqu’un à travers une foule, en sachant que n’importe qui pourrait l’attraper au passage. Plutôt que de l’écrire en clair, vous convenez au préalable avec votre destinataire d’un alphabet secret connu de vous deux seuls. Même si quelqu’un intercepte la lettre en chemin, il ne voit qu’une suite de symboles incompréhensibles. Le chiffrement HTTPS joue exactement ce rôle de code secret partagé, protégeant le contenu de vos échanges contre quiconque tenterait de l’intercepter pendant son trajet sur internet.
Comment votre navigateur vérifie qu’il parle au bon site
Le chiffrement seul ne suffirait pas, puisqu’il faut aussi s’assurer que vous communiquez réellement avec le site voulu plutôt qu’avec un imposteur. C’est le rôle d’un certificat numérique, une sorte de carte d’identité électronique délivrée à un site par des organismes spécialisés appelés autorités de certification, qui vérifient d’abord que le demandeur contrôle effectivement le nom de domaine concerné. Votre navigateur vérifie automatiquement ce certificat à chaque connexion, et affiche un avertissement visible si quelque chose cloche, un certificat expiré, un nom qui ne correspond pas, ou une autorité de certification non reconnue.
Ce que le cadenas ne garantit absolument pas
C’est ici que se situe le malentendu le plus répandu. Le cadenas confirme que la connexion est sécurisée, pas que le site lui-même est honnête ou digne de confiance. Un fraudeur peut très bien obtenir un certificat valide pour un faux site imitant une boutique légitime, et ce site affichera alors fièrement le même cadenas rassurant que n’importe quel site de confiance, puisque l’obtention d’un certificat de base est devenue gratuite et largement automatisée.
Le cadenas répond donc à la question « mes échanges avec ce site sont ils protégés contre l’interception? », mais pas à la question « ce site est il réellement ce qu’il prétend être, et va t il honnêtement me livrer ce que j’achète? ». Pour cette seconde question, d’autres vérifications restent nécessaires, notamment examiner attentivement l’adresse exacte du site, chercher des avis indépendants, et se méfier d’offres anormalement avantageuses.
Pourquoi l’absence de cadenas reste un signal d’alarme important
Même si sa présence ne garantit pas l’honnêteté d’un site, son absence demeure un avertissement sérieux, surtout avant de saisir une information sensible. Sans chiffrement, tout ce que vous tapez, y compris un mot de passe ou un numéro de carte, circule en clair sur le réseau, lisible par quiconque se trouve entre vous et le serveur. La plupart des navigateurs modernes affichent d’ailleurs désormais une mention « non sécurisé » bien visible pour les sites sans HTTPS, un signal qu’il vaut mieux ne pas ignorer.
Un réflexe simple avant tout paiement en ligne
Avant d’entrer des informations de paiement sur un site que vous ne connaissez pas bien, prenez quelques secondes pour vérifier l’adresse exacte affichée dans la barre du navigateur, à la recherche de fautes d’orthographe subtiles ou de domaines inhabituels, plutôt que de vous fier uniquement à la présence du cadenas. Utiliser une carte de crédit plutôt qu’une carte de débit offre aussi généralement une meilleure protection en cas de fraude, puisque les recours pour récupérer un montant débité frauduleusement sont habituellement plus simples.
En bref : Le cadenas affiché dans la barre d’adresse indique que votre connexion avec un site est chiffrée, protégeant vos échanges contre l’interception, mais il ne garantit absolument pas que le site lui-même soit honnête ou légitime. Vérifier soigneusement l’adresse exacte du site reste donc indispensable avant tout paiement en ligne, le cadenas ne constituant qu’une protection partielle parmi d’autres.