⏱ Lecture : 7 min
Le petit cadenas est là, dans la barre d’adresse. Tu te dis que tout va bien. Il tient une vraie promesse — mais une seule.
Il chiffre ce que tu envoies au site. Il ne cache pas le fait que tu y ailles. Et il ne dit strictement rien de l’honnêteté de qui se trouve en face : un site d’arnaque affiche exactement le même cadenas que ta banque. Voici ce qu’il couvre réellement, ce qu’il laisse filer, et ce qui a changé en 2026.
- Ce que le cadenas protège vraiment
- Ce qu’il laisse passer : ta destination
- Ce qui a changé en 2026 : le chiffrement du nom de site
- Pourquoi ce n’est pas un label de confiance
- Qui voit quoi, selon ce que tu utilises
- Questions fréquentes
Ce que le cadenas protège vraiment
Commençons par la bonne nouvelle, parce qu’il y en a une : le cadenas fait un travail sérieux.
Reprends l’image de l’enveloppe. HTTPS la ferme et la scelle entre ton appareil et le site. Personne sur le trajet ne lit ce qu’il y a dedans : ni mot de passe, ni message, ni numéro de carte. Ni le réseau du café, ni ton opérateur, ni les machines qui relaient au milieu.
C’est acquis, et sur la quasi-totalité des sites : le web en clair appartient au passé. C’est d’ailleurs pour ça que le vieux conseil « ne fais jamais d’achat sur un Wi-Fi public » a beaucoup perdu de sa force — le contenu de tes échanges est déjà protégé.
Ce qu’il laisse passer : ta destination
Maintenant retourne l’enveloppe. L’adresse est écrite dessus, en grand, et elle reste parfaitement lisible.
La raison est mécanique. Au moment d’ouvrir la connexion, ton appareil doit annoncer le nom du site — dans un champ appelé SNI — avant que le chiffrement démarre. Sinon le réseau ne saurait pas où livrer. Ce nom voyage donc en clair : c’est le prix du routage, pas un défaut de HTTPS.
Trois choses restent ainsi visibles depuis le réseau :
- le nom du site que tu demandes, via ce champ SNI ;
- la requête DNS qui l’a précédée, si elle n’est pas chiffrée ;
- l’adresse IP du serveur contacté, qui suffit souvent à l’identifier.
Ton opérateur inscrit alors une ligne de plus : l’heure, le nom du site, la durée de la visite. Le contenu reste secret, mais la liste de tes destinations raconte déjà beaucoup. Une clinique, un site de rencontre, un site de jeu d’argent : personne n’a eu besoin d’ouvrir l’enveloppe.
Ce qui a changé en 2026 : le chiffrement du nom de site
Ce trou est connu depuis longtemps, et il est en train de se refermer — lentement.
Un mécanisme nommé Encrypted Client Hello (ECH) chiffre précisément ce champ SNI. Le principe est celui de la double enveloppe : l’enveloppe extérieure affiche une destination générique, l’adresse réelle voyage à l’intérieur, chiffrée. Sa spécification est devenue une norme officielle de l’IETF, la RFC 9849, publiée le 3 mars 2026.
Concrètement, en 2026 : les principaux navigateurs l’activent quand le site le propose, et Cloudflare l’a généralisé sur l’ensemble des domaines de son réseau — ce qui représente une part importante du web. Mais l’hébergement autonome reste peu couvert, et le mécanisme n’est utile que si le site que tu visites l’a mis en place.
Et surtout, même quand ECH fonctionne, deux traces subsistent : l’adresse IP du serveur, et ta requête DNS si elle n’est pas chiffrée elle aussi. ECH réduit la fuite ; il ne la supprime pas.
Pourquoi ce n’est pas un label de confiance
Deuxième malentendu, et il coûte plus cher que le premier. Beaucoup lisent le cadenas comme un gage de sérieux. Il certifie une seule chose : la connexion est chiffrée. Il ne dit rien de qui se trouve en face.
Un certificat s’obtient gratuitement, en quelques minutes, par n’importe quel propriétaire de nom de domaine. Un faux site de livraison en installe un aussi vite que ta banque. Cadenas impeccable, escroquerie complète : les deux sont parfaitement compatibles.
Le cadenas te garantit que ton numéro de carte arrive intact. Pas qu’il arrive chez quelqu’un d’honnête. Le bon réflexe reste donc le même qu’avant : relire l’adresse du site caractère par caractère, puis se demander qui te l’a envoyée.
Qui voit quoi, selon ce que tu utilises
Le tableau ci-dessous résume la situation du point de vue de ton opérateur ou du réseau auquel tu es connecté.
| Ce qu’il peut voir | HTTPS seul | HTTPS + DNS chiffré + ECH | HTTPS + VPN |
|---|---|---|---|
| Le contenu de tes échanges | non | non | non |
| Le nom des sites visités | oui | non, si le site gère ECH | non |
| L’adresse IP contactée | oui | oui | non |
| Que tu utilises un VPN | — | — | oui |
| Qui voit tes destinations à la place | ton opérateur | ton opérateur (par l’IP) | ton fournisseur de VPN |
La dernière ligne est la plus importante, et c’est celle qu’on oublie : le VPN ne supprime pas l’observateur, il le déplace. C’est un choix, pas une disparition — nous l’avons détaillé dans notre guide sur les preuves à vérifier avant de faire confiance à un VPN.
HTTPS et VPN ne s’opposent donc pas, et l’un ne remplace pas l’autre : l’un couvre le contenu, l’autre couvre le trajet. Pour comprendre ce que ton fournisseur d’accès voit exactement de ta navigation, vois aussi notre article sur le fonctionnement d’un VPN.
Questions fréquentes
Le cadenas suffit-il sur un Wi-Fi public ?
Pour le contenu, oui : mots de passe et numéros de carte sont chiffrés. Le réseau voit en revanche la liste des sites que tu consultes, et rien ne t’avertit si tu t’es connecté à un faux point d’accès portant le nom du lieu.
Comment savoir si un site utilise ECH ?
Ce n’est pas affiché dans la barre d’adresse. Les outils de développement du navigateur, onglet réseau, permettent de le vérifier connexion par connexion. En pratique, tu ne choisis pas : c’est le site qui l’active, ou non.
Un site en HTTPS peut-il être dangereux ?
Tout à fait, et c’est fréquent. Le certificat atteste du chiffrement, jamais de l’intention. La grande majorité des sites de hameçonnage récents sont en HTTPS.
Faut-il encore un VPN si tout le web est chiffré ?
Cela dépend de ce que tu veux protéger. Contre la lecture de tes échanges, HTTPS suffit. Contre la constitution d’un historique de tes destinations par ton opérateur, non — c’est là que le VPN intervient, en déplaçant ce relevé chez un fournisseur que tu as choisi.
Ce qu’il faut retenir
Le cadenas protège le contenu. Il laisse passer la destination. Et il ne certifie aucune honnêteté.
Trois phrases, trois idées distinctes — et c’est en les confondant qu’on se croit protégé de ce dont on ne l’est pas.
2 commentaires sur « Cadenas HTTPS : ce qu’il protège (et ce qu’il laisse passer) »