Quand vous visitez un site web avec une adresse débutant par https, vos communications avec le site sont chiffrées avec le serveur afin de vous assurer la confidentialité. Cette méthode n’est pas infaillible d’une part parce que le https ne permet pas d’authentifier le serveur en face et aussi parce que la connexion peut-être plus ou moins sécurisée.

Avant de débuter la communication chiffrée, le site web en question doit présenter un certificat afin de s’identifier et prouver que la connexion est sécurisé. Le certificat aide votre navigateur à déterminer si le site que vous visitez est vraiment celui qu’il prétend être. Si un problème est rencontré avec le certificat, vous verrez une page d’avertissement.

Le fait de voir cette alerte ne signifie pas obligatoirement que le site est une contrefaçon ou qu’il tente de vous duper, mais simplement que le navigateur ne peut pas vérifier l’identité du site web en question. Donc vous devriez être prudent dans de telles circonstances.

Il existe plusieurs raisons pour lesquelles le navigateur peut rejeter un certificat. Certaines de ces raisons sont décrites dans l’aide de Firefox. Cela peut être du à l’horloge de votre périphérique ou à un problème coté serveur.

Mais il peut y avoir d’autres raisons. Notamment le fait que l’auteur du site ne souhaite pas payer de certificat, soit parce qu’il n’en a pas les moyens (oui les certificats vérifiés sont cher) soit parce qu’il ne cautionne pas le système actuel de certification. Ce système fonctionne de manière centralisé (tout l’inverse de l’esprit d’Internet) et il faut généralement payer cher pour certifier son certificat par une autorité compétente et le certificat n’est valable que pour une durée limité. Cela ne protège pas non plus des attaque MITM comme le fait Avast.

J’ai donc pris le parti, avec d’autres libristes de ne pas certifier mon certificat. Cela peut aussi responsabiliser l’internaute. En acceptant mon certificat de façon active il me prouve sa confiance. Cela peut aussi le rebuter car la plupart des internautes ont peurs des certificats non authentifiés. Il faut donc faire un gros travail d’éducation par rapport aux certificats. On peut aussi parler des autorités indépendantes comme StartSSL ou CAcert qui proposent des certificats gratuits mais dont la reconnaissance par le navigateur n’est pas garantie.

Avant d’accepter un certificat il faut donc le lire afin d’en apprendre plus sur le serveur sur lequel on se connecte.

PS : Désormais Let’s Encrypt permet d’avoir des certificats valide et fonctionnel gratuitement. Même si le modèle de Let’s Encrypt repose le problème de centralisation autour de quelques acteur, généralement les GAFAM.

Voir aussi Comprendre le certificat https