Comment fonctionne TLS/HTTPS ?

Question

IT Interview Practice · Accepted Answer

**HTTPS n'est que du HTTP tournant à l'intérieur d'un canal chiffré par TLS.** TLS (Transport Layer Security) vous donne trois garanties : la **confidentialité** (le trafic est chiffré), l'**intégrité** (il ne peut pas être altéré sans détection) et l'**authentification** (vous parlez réellement au serveur nommé dans le certificat). Il est négocié lors d'un **handshake** avant l'envoi de tout HTTP :

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

La partie astucieuse est la combinaison de deux sortes de cryptographie. La cryptographie **asymétrique** (la paire de clés publique/privée du certificat) n'est utilisée que brièvement pour *authentifier le serveur et convenir en toute sécurité d'un secret partagé*. Ce secret partagé sert ensuite de clé au chiffrement **symétrique** rapide (comme AES) pour l'essentiel des données — car la cryptographie asymétrique est bien trop lente pour chaque octet.

L'**authentification** repose sur la chaîne de certificats : le certificat du serveur est signé par une **Certificate Authority (CA)**, et votre OS/navigateur est livré avec une liste de CA de confiance. Si la chaîne est valide et que le nom correspond, la confiance est établie ; sinon (expiré, auto-signé, mauvais host), le navigateur affiche un avertissement. Le **TLS 1.3** moderne rationalise tout cela en un seul aller-retour (0-RTT à la reprise) et abandonne les ciphers hérités et non sûrs.

## Pourquoi c'est important

TLS sous-tend l'essentiel de tout le trafic web, donc le comprendre est un prérequis pour tout poste backend, sécurité ou infrastructure. Les recruteurs l'utilisent pour tester si vous saisissez le **modèle de crypto hybride** — asymétrique pour établir la confiance et une clé partagée, symétrique pour la vitesse — un motif qui revient dans les systèmes de sécurité. C'est aussi intensément pratique : certificats expirés, chaînes non fiables et incompatibilités de protocole/cipher sont des incidents fréquents en production, et savoir comment fonctionnent le handshake et la validation de certificat est ce qui vous permet de les diagnostiquer rapidement (par ex. avec `curl -v` ou `openssl s_client`).

Pourquoi c'est important

Questions connexes