Hypothèses joue la carte de la sécurité grâce au protocole « HTTPS »

Mise à jour 09/09/2016

Compte-tenu de l’évolution du web ces derniers mois et du fait que la généralisation du protocole HTTPS n’est pas aussi rapide que l’auraient voulu certains géants comme Google (car le passage en full-HTTPS est un travail qui peut être long, complexe et coûteux, notamment pour les petits sites webs), nous avons décidé de ne finalement pas forcer l’utilisation du HTTPS sur Hypothèses pour l’instant.
En effet, un forçage à l’heure actuelle entrainerait de nombreux dysfonctionnements au niveau des carnets qui utilisent des contenus hébergés sur des sites n’utilisant que le protocole HTTP.
Néanmoins, il est possible que l’utilisation exclusive du protocole HTTPS se mettent en place à moyen-long terme sur le web. Ce n’est donc pas une option que nous excluons, et l’avantage est que nous avons désormais les outils techniques nécessaires pour un forçage du HTTPS sur Hypothèses lorsque cela sera nécessaire. Nous sommes donc dans une configuration idéale, garantissant à la fois votre confort d’utilisation de la plateforme, ainsi que la sécurité et la stabilité de cette dernière, dès et à présent et pour le futur.

Il est par ailleurs important de noter que les protocoles HTTP et HTTPS cohabitent actuellement sur Hypothèses. En effet, si vous possédez un compte d’utilisateur sur un ou plusieurs carnet(s) de la plateforme, une fois connecté, vous naviguez automatiquement sur Hypothèses via le protocole HTTPS, quel que soit le carnet que vous consultez.

Lorsque vous naviguez sur internet, différents protocoles permettent à votre navigateur (Mozilla Firefox, Google Chrome…) de communiquer avec le serveur sur lequel sont hébergés les sites webs que vous souhaitez consulter. La plupart du temps, il s’agit du protocole HTTP. Cependant, celui-ci ne permet pas de garantir une sécurité optimale en termes de confidentialité des données que vous recevez et envoyez lors de votre navigation sur internet.

Pour pallier cela, le protocole sécurisé HTTPS lui est désormais préféré. Le protocole HTTPS est en train de se généraliser sur internet et de devenir un standard, qu’il devient urgent et important de respecter. D’ailleurs, les principaux navigateurs interprètent désormais le HTTPS et privilégient son utilisation lorsque cela est possible. Mais la question du navigateur n’est qu’une facette du problème. En effet, pour que la sécurité offerte par le protocole HTTPS soit assurée et pour que la communication entre votre navigateur et les sites internet distants se passe sans encombre, il est également nécessaire que les sites en question adoptent ce fameux protocole HTTPS.

Pour cette raison et dans une logique générale de maintien de la sécurité et de la stabilité de notre plateforme, nous avons décidé de faire évoluer Hypothèses en ce sens, en ne proposant désormais sur la plateforme que le protocole HTTPS.
Cette amélioration aura pour conséquence de garantir – à vous ainsi qu’à vos lecteurs – une utilisation plus sûre d’Hypothèses.

Néanmoins, cette avancée s’accompagne de certains effets collatéraux, dont nous sommes conscients et que nous tâchons de minimiser, mais qui vont peut-être avoir un impact sur certain/es d’entre vous.

En effet, l’utilisation exclusive du protocole HTTPS implique que les contenus externes inclus dans les billets et utilisant le protocole HTTP ne seront désormais plus pris en charge sur Hypothèses.
Explication : lorsqu’un site web utilisant le protocole HTTPS inclut certains éléments externes à ce site et utilisant quant à eux le protocole HTTP, on parle alors de contenu mixte. Cela est par exemple le cas lorsque sur votre carnet Hypothèses (utilisant désormais le protocole HTTPS) vous intégrez une vidéo hébergée sur une plateforme répondant uniquement au protocole HTTP. La systématisation de l’utilisation du protocole HTTPS par les navigateurs web a pour effet d’entraîner
le blocage de ces contenus mixtes, afin de garantir la sécurité de votre navigation et de vos données. Concrètement, cela signifie que dans l’exemple précédent, votre carnet de recherche Hypothèses sera accessible, mais la vidéo que vous y aurez intégrée ne pourra pas être consultée par vos lecteurs. Et cela vaut aussi bien pour vos billets, vos pages et vos widgets et ce, quel que soit le type de contenus externes que vous souhaitez intégrer sur votre carnet (vidéos, enregistrements sonores, images, lecteurs exportables de pdf ou d’ouvrages numérisés…).

Vous constaterez peut-être qu’il existe certaines méthodes pour passer outre le blocage mis en place par votre navigateur et ainsi afficher certains contenus utilisant le protocole HTTP, même sur une page en HTTPS. Gardez en tête d’une part que c’est une manipulation que nous déconseillons vivement, le protocole HTTP n’étant pas sécurisé. D’autre part, lever le blocage de votre navigateur ne sera pas toujours suffisant pour permettre l’affichage des contenus non sécurisés en question (cela dépendra de votre navigateur, de sa version, du type de contenu mixte et du site web sur lequel il est hébergé). Enfin, le protocole HTTPS est amené à devenir un standard et à remplacer le protocole HTTP dans un avenir assez proche. Aussi, inutile de chercher par tous les moyens possibles à continuer à utiliser des contenus qui seront bientôt obsolètes s’ils n’évoluent pas de leur côté.

Par conséquent, si vous constatez que certains contenus ne s’affichent plus sur votre carnet, il est nécessaire de procéder comme suit :

  • d’abord, vérifiez que le problème vient bien de l’utilisation du protocole HTTP, en regardant au niveau du code de l’élément que vous avez intégré dans votre carnet. Par exemple, le code suivant correspond à l’intégration d’une vidéo utilisant le protocole HTTP. Elle ne s’affichera donc pas sur votre carnet :

    <iframe src= »http://www.canal-u.tv/video/ehess/embed.1/la_fonction_critique.19056?width=100%&amp;height=100% » width= »550″ height= »306″ frameborder= »0″ scrolling= »no »></iframe>

capture-https-http

  • certains contenus répondent à la fois au protocole HTTP et au protocole HTTPS. Vous pouvez donc essayer de remplacer manuellement HTTP par HTTPS dans votre code. Dans notre exemple, cela donnerait :

    <iframe src= »https://www.canal-u.tv/video/ehess/embed.1/la_fonction_critique.19056?width=100%&amp;height=100% » width= »550″ height= »306″ frameborder= »0″ scrolling= »no »></iframe>

    capture-https-http
    Ici, cela fonctionne et ce changement suffira à garantir l’affichage de votre vidéo sur votre carnet.
    Si vous êtes confrontés à cette situation, nous vous remercions par avance de bien vouloir nous contacter à l’adresse hypotheses[at]openedition.org afin de nous transmettre l’adresse de la ressource en question. En effet, nous tâcherons de faire en sorte que l’utilisation de cette ressource par les carnetiers se fasse par défaut via le protocole HTTPS, ce qui évitera aux utilisateurs de la plateforme de devoir effectuer le changement HTTP -> HTTPS manuellement à chaque fois que cette source sera utilisée.
  • dans d’autres cas, lorsque le protocole HTTPS n’est pas pris en charge par le site web hébergeant la ressource que vous essayez d’intégrer sur votre carnet, l’opération précédente restera sans effet.
    Malheureusement, la seule solution à ce problème sera alors d’opter pour une source différente, utilisant le protocole HTTPS. Si la ressource en question est indispensable pour vous, il conviendra de contacter les personnes en charge de son hébergement, afin de leur demander si le passage au protocole HTTPS est à l’ordre du jour de leur côté. Vous pouvez également nous adresser un message en ce sens, en nous précisant l’adresse de la ressource en question. Nous pourrons ainsi relayer votre demande auprès des hébergeurs concernés.
    En tout état de cause et même si nous ne pouvons pas agir directement  sur ces hébergeurs, il faut garder en tête que le passage au HTTPS est une tendance générale et une évolution importante du web. Aussi, tous les hébergeurs fiables sont amenés à opter pour ce protocole dans un avenir plus ou moins proche, selon leurs contraintes et leurs capacités techniques.
    Ceci étant, ce cas de figure devrait rester relativement marginal, dans la mesure où tous les hébergeurs les plus connus et les plus utilisés (Youtube, Dailymotion, Archive, ISSUU, OpenStreetMap…), utilisent d’ores et déjà le protocole HTTPS.

À l’avenir, pour éviter toute déconvenue, nous vous invitons donc à n’intégrer sur vos carnets que des contenus utilisant le protocole HTTPS. Il s’agit à la fois des vidéos, des enregistrements sonores ou encore par exemple des livres feuilletables intégrés sur vos carnets via des lecteurs exportables, mais également des images utilisées pour illustrer vos billets.

Concernant les images, le bon réflexe à adopter est donc, dans la mesure du possible, de les transférer dans la bibliothèque de médias de votre carnet, de manière à pouvoir ensuite les utiliser facilement et de manière sécurisée pour illustrer vos billets. Cela aura aussi pour conséquence de vous garantir la pérennité de ces fichiers (qui seront stockés sur nos serveurs), ce qui n’est souvent pas le cas lorsque vous passez par un service externe. Attention toutefois, pour procéder ainsi, vous devez avoir les droits d’utilisation des images en question !
Par ailleurs, nous vous recommandons vivement de ne pas utiliser la fonction « Insérer à partir d’une adresse web » disponible après avoir cliqué sur « Ajouter un média », lorsque vous éditez un billet. En effet, cette fonctionnalité vous permet d’intégrer une image (ou un autre média) dans votre billet, mais il ne s’agit en réalité que d’un lien vers cette ressource, qui n’est alors pas présente physiquement sur votre carnet. En multipliant les liens de ce type, cela aura pour conséquence de multiplier le risque que ceux-ci se brisent avec le temps, par exemple si la ressource distante n’est plus disponible pour une raison X ou Y (fermeture ou ré-organisation du site web sur lequel était hébergée l’image notamment), ou si le site web où est présente cette ressource répond uniquement au protocole HTTP alors que votre propre site utilise le protocole HTTPS…

Image à la une : Padlock par Roel Wijnants sous licence Creative Commons by-nc

Citer ce billet : “Hypothèses joue la carte de la sécurité grâce au protocole « HTTPS »”, par François Pacaud. Publié sur La maison des carnets le 22 juillet 2016. Lien : http://maisondescarnets.hypotheses.org/2686.

François Pacaud

Responsable du service blogging scientifique / Head of science blogging department (Cléo/OpenEdition)

More Posts

Follow Me:
TwitterFacebookLinkedInFlickr