Bonjour,

Google ne gagne rien, financièrement parlent, en incluent le protocole https dans son algorithme de notation des sites web !

Se sont les sociétés qui vendent les certificats qui gagnent de l’argent avec les certificats authentifiée (CA).

Pourquoi est-il conseille d’utiliser des certificats SSL pour les sites webs, même pour des sites web odinaires ?

L’intérêt d’un site web sécurisé en https réside dans le chiffrement des données entre le client (vous) et le serveur de telle façon que le contenu de toutes les pages que vous consultez ne sois connu que de vous. Certes, en France et de nos jours l’intérêt est limité mais si l’on pense aux internautes des pays comme la Chine ou la Corée (et j’en passe) l’utilité est avérée.

Nous ne sommes pas encore en Chine… mais quand je vois ce qui se profile pour nous en république populaire de France, je m’inquiète un peu.

Pour résumer, ça apporte le chiffrement et l’authentification :

-
* Login chiffrée (pas de mot de passes/cookies en clair) – la je pense a la protection d’une attaque MITM sur un réseau local/wifi (ndlr : https://www.crashdump.fr/securite/arp-spoofing-arp-cache-poisoning-59/)

-
* Contenu inconnu pour ton FAI (Les requêtes et les réponses sont chiffrés, ex d’une requête https (http/ssl implicite) : 1. La connexion TCP (three-way handshake) 2. le protocole SSL (négociation des clés) 3. requête HTTP dans le canal chiffré établi précédemment.)

-
* L’authentification du serveur : En vérifiant la validité du certificat on peux très vite savoir si le serveur est vraiment celui attendu par la requête (encore plus évident si le certificat a été signé par une CA reconnue).

-

Par contre, les inconvénients :
* Il faut avoir son propre serveur (ou alors que l’hébergeur le propose)
* l’Installation est pas toujours évidente.
* Un certificat reconnu.. c’est payant. (voir Gandi.net qui propose en ce moment un certificat offert a chaque nouvel achat/renouvellement de domaine)
* La charge serveur est plus importante (le CPU est bien plus sollicité a chaque requête)

source https://www.crashdump.fr/securite/crashdump-fr-passe-en-aes-256-703/