NiCr a écrit :



Donc on fait quoi ?





On peut préférer faire un article pour expliquer les limites de l’HTTPS plutôt que continuer à faire croire que le ‘full HTTPS’ apporte une réelle anonymisation du surf dans ce cadre là.



Ca permettra au lecteur de mieux comprendre les limites et de pouvoir l’appliquer aux autres sites. Y a une vieille histoire qui parle d’Homme qui a faim, de poisson, d’apprendre à pêcher, etc… Elle s’applique parfaitement ici.



Pour la partie technique, on peut également préférer utiliser les bonnes pratiques issues de l’état de l’art en matière d’authentification pour assurer une protection contre les tentatives de vol d’identifiants, plutôt qu’utiliser un outil inadapté pour ça (voir pas d’outil du tout comme c’était jusque-là le cas).

Sheepux a écrit :



si la suite n’est pas en HTTPS … hmmm merci le beau cookie qui transite en clair. vol de session etc…





Si c’est mal fait, oui.



Mais on peut aussi faire les choses bien, typiquement en n’envoyant pas le sessionId en lui-même à chaque page vue, mais quelque chose calculé à partir du sessionId qui sert alors de ‘seed’, et qui peut varier régulièrement au cours de la visite, voir à chaque nouvelle requête.

David_L a écrit :



Pourquoi pas ? Parce que certains préfèrent, parce que certains le demandent, et parce que ça sera utilisable uniquement pour ceux qui le veulent " />





Ce n’est pas une réponse.



Autant l’authentification en HTTPS est un indispensable, autant proposer tout le reste en HTTPS n’apportera strictement rien hormis une surconsommation de ressources,autant du côté des serveurs de PCI que du côté client (conso CPU et latence à l’affichage).

David_L a écrit :



L’important, c’est d’avoir le choix, non ? ;)





Je ne dis pas le contraire, mais c’est votre choix de proposer ce choix que je trouve plutôt étonnant.



Etant donné qu’on vit dans un monde fini, passer du temps à faire ça, cela revient à passer autant de temps à ne pas faire autre chose de potentiellement plus utile.



Même principe pour les charges des serveurs / équipement dédiés qui auraient pu servir à autre chose, etc…



Un truc genre Folding @ home en priorité ultra basse par exemple, histoire de rendre utile une capacité de calcul inutilisée, etc. LEs exemples sont nombreux.

Arcy a écrit :



Tu peux bien surfer sur un site comme PCI pour faire de la veille documentaire





Je ne dis pas le contraire.



Je dis juste que proposer une version sécurisée d’un contenu visible par ailleurs en non sécurisé n’apporte à peu près aucune confidentialité sur le surf en lui-même, et donc l’intérêt d’un ‘full HTTPS’, au délà de ce qui touche aux infos ‘sensibles’ (mot de passe, …), est à peu près nul.







Jarodd a écrit :



C’est presque anti-productif si on se pense protégé à tort… " />





+1

NeVeS a écrit :



C’est une question de principes





Pour moi, ce genre de non argument, c’est l’autre façon de dire “je fais rentrer au forceps un cas particulier dans une généralisation ‘à l’aveugle’ qui ne s’adapte absolument pas au cas dont on discute en ce moment”.

NiCr a écrit :



C’est pas comme ci ça prenait un dixième de seconde pour savoir si t’es en HTTPS ou non…





C’est contre productif dans la mesure où une partie non négligeable des internautes pense qu’à partir du moment où il surfe sur un site en HTTPS l’admin réseau ne pourra même pas savoir par exemple qu’il s’est connecté à tel site plutôt que tel autre.



J’ai également donné quelques exemples dans mes comms précédents pour montrer qu’il est parfaitement possible de retirer d’autres informations plus précises, par recoupement.