Google renforce son travail pour accroître l’utilisation du HTTPS

Les développeurs de Google, en charge du projet Chromium, ont récemment annoncé dans un article de blog leur intention de mettre en œuvre plusieurs étapes pour accroître l’utilisation du HTTPS par défaut.

Parmi leurs principales préoccupations, ils mentionnent que malgré le fait qu’environ 90 % du trafic des utilisateurs de Chrome/Chromium provient de sites HTTPS, les 5 à 10 % restants du trafic restant proviennent de sites HTTP, ce qui se traduit par une navigation « Pas sûr ».

Les développeurs mentionnent dans l’article que l’objectif ultime de Google est d’activer HTTPS-First pour tous les utilisateurs, qui redirige automatiquement les requêtes HTTP vers HTTPS et bien que tous les sites ne prennent pas encore en charge HTTPS et qu’il existe des configurations qui renvoient un contenu différent lors de l’accès à HTTP et HTTPS, il Il a été décidé de mettre en œuvre une série de mesures intermédiaires avant l’introduction généralisée du transfert automatique vers HTTPS.

Nous pensons que le Web doit être sécurisé par défaut. Le mode HTTPS-First permet à Chrome de tenir exactement cette promesse, en obtenant votre autorisation explicite avant de vous connecter à un site de manière non sécurisée. Notre objectif est d’activer à terme ce mode pour tout le monde par défaut. Bien que le Web ne soit pas encore prêt à activer universellement le mode HTTPS-First, nous annonçons plusieurs étapes importantes vers cet objectif.

Et c’est à partir de Chrome 115 que le mode HTTPS-First a été progressivement activé par défaut pour un petit pourcentage d’utilisateurs . Pour garantir le travail avec des sites qui ne prennent pas en charge HTTPS, un repli vers HTTP a été mis en place si, après le transfert, il n’est pas possible de compléter une demande via HTTPS ou s’il y a des problèmes avec les certificats.

Pour ceux qui ne connaissent pas HTTPS-First, je peux vous dire qu’il résout le problème de la diffusion de contenus différents via HTTP et HTTPS. Par exemple, lorsque HTTPS est activé, mais n’est pas configuré sur le serveur, le mode HTTPS-First sera appliqué automatiquement pour l’instant uniquement si les accès HTTPS précédents sont enregistrés dans l’historique de navigation du site actuel.

Les fichiers téléchargés peuvent contenir du code malveillant qui contourne le bac à sable de Chrome et d’autres protections, offrant ainsi à un attaquant réseau une opportunité unique de compromettre votre ordinateur lorsque des téléchargements dangereux se produisent. Cet avertissement vise à informer les gens sur le risque qu’ils prennent.

Vous pourrez toujours télécharger le fichier si vous êtes à l’aise avec le risque. À moins que le mode HTTPS-First ne soit activé, Chrome n’affichera pas d’avertissements lorsque des fichiers tels que des images, de l’audio ou des vidéos sont téléchargés de manière non sécurisée, car ces types de fichiers sont relativement sûrs. Nous espérons mettre en œuvre ces avertissements à partir de la mi-septembre.

À ce stade, le mode HTTPS-First est activé pour les utilisateurs connectés à leur compte et ayant accepté de participer au programme de protection avancée de Google.

De plus, il est mentionné que  Chrome 117 prévoit de mettre en œuvre des avertissements lors de la tentative de téléchargement de fichiers via une connexion non sécurisée . Des avertissements seront affichés pour les fichiers avec certaines extensions dangereuses (.exe, .zip) et informeront l’utilisateur du risque de falsification de ces fichiers en raison de l’utilisation d’un canal de communication non crypté. Cela permettra à l’utilisateur d’ignorer l’avertissement et de poursuivre le téléchargement via HTTP. Les fichiers d’images, de vidéos et de musique ne recevront pas ces avertissements.

Pour ceux qui souhaitent pouvoir activer le mode HTTPS-First sans attendre qu’il soit activé par défaut dans le navigateur, ils peuvent le faire dans le configurateur ( chrome://settings/security ), en activant l’option ” Toujours utiliser connexions sécurisées” ou en utilisant les fonctions expérimentales ” chrome:/ /flags/#https-upgrades” et “chrome://flags/#insecure-download-warnings”.

Enfin, il est mentionné que dans une future version de Chrome, il est prévu d’activer HTTPS-First par défaut pour les pages ouvertes en mode navigation privée, car des expérimentations sont actuellement en cours pour activer automatiquement HTTPS-First pour les sites connus pour prendre également en charge HTTPS. comme l’activation de HTTPS-First pour les utilisateurs qui utilisent rarement HTTP dans leur navigateur.

Si vous souhaitez en savoir plus, vous pouvez consulter les détails dans le lien suivant.