HTTPS, Google et indexation

a servi à préparer le terrain pour la grande annonce arrivée le 8 septembre 2016 directement sur le blog de sécurité de Google : avec la sortie de Chrome 56 (1er janvier 2017), les sites HTTP seront marqués par le navigateur lui-même comme « non sécurisés », une information qui sera clairement visible pour les utilisateurs qui naviguent sur ces sites et qui constituera une forte sanction pour les sites eux-mêmes.

Commençons par les définitions de base puis poursuivons avec l'analyse des différentes étapes qui, au cours des 6 dernières années, ont amené Google à prendre cette décision importante.

Qu'est-ce que le protocole HTTPS ? Nous continuons en citant directement la source primaire, à savoir Google et son guide dédié aux webmasters :

"HTTPS (Hypertext Transfer Protocol Secure) est un protocole de communication Internet qui protège l'intégrité et la confidentialité des données utilisateur échangées entre des ordinateurs et des sites. Par exemple, lorsqu'un utilisateur saisit des données dans un formulaire sur votre site pour s'inscrire à des mises à jour ou acheter un produit, HTTPS protège les informations personnelles de l'utilisateur qu'il fournit au site. Les utilisateurs s'attendent à pouvoir fournir des données via un site Web en toute sécurité […].

Les données envoyées via HTTPS sont protégées à l'aide du protocole Transport Layer Security (TLS), qui fournit trois couches de protection de base :

Cryptographie. Les données échangées sont cryptées pour les protéger de toute interception. Cela signifie que, pendant que l'utilisateur consulte un site Internet, personne ne peut « écouter » ses conversations, suivre ses activités sur plusieurs pages ou voler ses informations.

Intégrité des données. Les données ne peuvent pas être modifiées ou endommagées pendant le transport, intentionnellement ou non, sans détection

Authentification . Cela prouve que les utilisateurs communiquent avec le site Web prévu. Il protège contre les attaques de l'homme du milieu et inspire confiance aux utilisateurs, ce qui se traduit par d'autres avantages commerciaux. »

Faisons maintenant un bref résumé de toutes les étapes les plus significatives qui ont conduit à la décision qui sera mise en œuvre à partir de l'année prochaine.

Pour Google, la question de la sécurité a toujours été absolument fondamentale. En fait, depuis 2010, ils ont introduit le protocole HTTPS par défaut dans Gmail et dans nombre de leurs autres services (Recherche SSL, Docs et Google+). Cela signifie principalement que toutes les personnes qui utilisent la recherche Google, la messagerie Gmail et le partage Google Drive, par exemple, ont automatiquement accès à une connexion sécurisée directement avec Google.

Mais Big G ne s’est pas arrêté là. En août 2014, dans un article sur le blog dédié aux webmasters, ils ont déclaré que leur intention était d'œuvrer pour que le vaste monde d'Internet devienne un endroit plus sûr au niveau général. Une grande partie de cet objectif est de garantir la sécurité des sites Web accessibles via Google. Pour atteindre cet objectif, un véritable guide dédié aux webmasters a été créé qui, parmi les nombreux sujets abordés, explique également comment corriger et éviter les erreurs de sécurité sur leurs sites.

HTTPS Everywhere La même année, lors de la conférence Google I/O (la conférence annuelle organisée à San Francisco destinée aux développeurs web et axée sur le développement d'applications web et mobiles), Ilya Grigorik (ingénieur en performance web) et Pierre Far (analyste senior des tendances des webmasters) ont tenu une conférence entièrement dédiée à la sécurité web, intitulée " HTTPS partout ". En résumé, lors de ce discours, les deux experts ont tenté de convaincre les personnes présentes que toutes les communications devraient se dérouler par défaut de manière sécurisée. Au cours du discours, l'importance de protéger la sécurité, la confidentialité et l'intégrité des données des utilisateurs a été soulignée à plusieurs reprises. Une véritable leçon guidée sur la façon de sécuriser vos sites Web par défaut, indiquant quelles technologies sont nécessaires à cet effet, les configurations et les bonnes pratiques à suivre pour migrer un site vers HTTPS et le rendre « user and search friendly ».

https://youtu.be/cBhZ6S0PFCY

Guide d'utilisation du HTTPS Les premiers tests incluant l'utilisation du protocole HTTPS comme facteur d'indexation dans l'algorithme des résultats de recherche ont débuté en 2014. À l'époque, ce facteur influençait moins de 1 % des requêtes globales et avait certainement moins de poids que d'autres facteurs, en premier lieu le contenu de haute qualité. Pour encourager l'utilisation du protocole HTTPS auprès des webmasters, voici le guide des « Bonnes pratiques d'utilisation du HTTPS » directement disponible dans le Centre d'aide de Google. Le guide contient toutes les informations nécessaires pour optimiser l'utilisation du protocole HTTPS, mais surtout les instructions pour migrer votre site du HTTP vers HTTPS. Parmi la liste des bonnes pratiques, nous avons décidé d’en citer quelques-unes :

Demandez un certificat SSL pour le site web en choisissant entre des certificats dédiés, multi-domaines ou wildcard (nous recommandons d'utiliser des certificats avec une clé de 2048 bits) et installez le certificat SSL choisi sur le serveur web.

Redirigez les utilisateurs et les moteurs de recherche vers la page ou la ressource HTTPS à l'aide d'une redirection 301 côté serveur. [voir aussi le guide "Déplacer un site avec des changements d'URL"]

Ne bloquez pas le site en HTTPS à l'aide du fichier robots.txt

Ce ne sont évidemment que quelques-uns des points à suivre pour mieux optimiser votre site HTTPS et donc améliorer son indexation et sa réputation.

Certificat SSL Attardons-nous un instant sur la problématique du certificat SSL, qui nous concerne de très près chez Colt Engine (Joomlahost et Dnshosting). Nous avons vu que, afin de crypter la navigation et de la sécuriser pour les utilisateurs, un site internet doit installer un certificat valide qui est ensuite présenté au navigateur lors de la navigation et qui confirme son statut de site sécurisé. Les certificats nécessaires à ce type d'opération sont délivrés par une autorité de certification (CA) de confiance. Google a décidé de lancer un projet spécifique dédié aux certificats et aux autorités de certification, le projet Certificate Transparency, "conçu pour protéger le processus d'émission des certificats en offrant un cadre ouvert de surveillance et de contrôle des certificats HTTPS". Sur le site officiel du projet, son objectif principal est indiqué : « le projet corrige plusieurs failles structurelles dans le système de certificat SSL […] Ces failles affaiblissent la fiabilité et l'efficacité des connexions et peuvent compromettre les mécanismes TLS/SSL critiques, notamment la validation de domaine, le cryptage de bout en bout et les chaînes de confiance établies par les autorités de certification. Si rien n'est fait, ces failles peuvent faciliter un large éventail d'attaques de sécurité […] » . Le projet Certificate Transparency aide à identifier les certificats SSL invalides et, plus important encore, à détecter les autorités de certification frauduleuses pour protéger les utilisateurs des sites Web non sécurisés. Il est donc clair que Google vise à protéger les utilisateurs lors de leur navigation sur le web, au prix de pénaliser les sites Internet qui ne respectent pas certaines caractéristiques. Dans la section dédiée au projet Certificate Transparency présente dans le Transparency Report, Google invite toutes les AC à consigner les certificats émis dans un journal spécifique infalsifiable. "À l'avenir, Chrome et d'autres navigateurs pourraient décider de ne pas accepter les certificats qui n'ont pas été écrits dans ces types de journaux."

L'importance d'avoir un certificat SSL correctement installé sur votre site internet permet donc au site lui-même de donner une garantie de sécurité à ses utilisateurs, un fait que Google apprécie grandement en remboursant le site avec une bonne indexation et une série de fonctionnalités que nous verrons en détail plus loin.

HTTPS comme facteur de classement Nous poursuivons notre chemin à travers la mise en œuvre progressive du protocole HTTPS comme facteur pertinent dans le classement d'un site Web dans l'algorithme de Google. En 2015, le système d'indexation de Google a été « recalibré » pour rechercher autant de pages HTTPS que possible. Concrètement, le crawl de Google a commencé à rechercher toutes ces URL apparemment identiques mais en réalité servies par les deux protocoles différents et il a été décidé de privilégier l'indexation des pages en HTTPS si celles-ci :

ils ne contenaient aucune dépendance dangereuse

ils n'ont pas été bloqués par le fichier robots.txt

ils n'ont pas redirigé les utilisateurs vers une page HTTP

ils ne contenaient pas de lien rel="canonical" vers la page en HTTP

ils ne contenaient pas la balise méta noindex

En plus de ces caractéristiques, le crawl de Google a commencé à évaluer la présence d'un certificat SSL valide et correctement installé sur le serveur et la présence d'URL avec HTTPS dans le plan du site.

A travers cette révision de l'algorithme, Google a commencé à indexer les pages gérées en HTTPS par défaut, privilégiant leur positionnement par rapport à leurs versions HTTP.

Aujourd'hui, plus de 50 % des pages Web sont en HTTPS. Nous arrivons donc à ce qui se passe aujourd'hui, en particulier nous faisons référence à un article paru le 3 novembre sur le blog de sécurité de Google. En résumé, dans ce blog rédigé par l'équipe de sécurité de Chrome, il est fait référence au fait qu'« un Web avec HTTPS omniprésent n'est pas une hypothèse si lointaine. Cela se produit déjà maintenant, notamment pour ceux qui utilisent Chrome qui offre une navigation sécurisée en standard ». Le jour même de la publication de cet article, une nouvelle section entièrement dédiée au protocole HTTPS a été ajoutée au rapport de transparence de Google (un ensemble de données qui clarifie l'influence des lois et réglementations sur les internautes et la circulation de l'information en ligne).

« Plus de la moitié du chargement total des pages des utilisateurs d'ordinateurs de bureau Chrome et les deux tiers du temps total des utilisateurs d'ordinateurs de bureau se font via HTTPS, et nous prévoyons que ces chiffres poursuivront leur trajectoire de croissance rapide. »

Dans le rapport de transparence, la volonté de Google de « chiffrer complètement ses produits et services » est explicitement affirmée.

"Nous essayons d'implémenter le HTTPS sur tous nos produits. En mars 2014, nous avons annoncé l'utilisation exclusive du HTTPS pour Gmail. Nous travaillons pour surmonter les barrières techniques qui compliquent la prise en charge du chiffrement sur certains de nos produits", telle est la déclaration tirée directement du document accompagné d'un graphique à l'appui, qui met en évidence le trafic réparti par produit spécifique :

Pour encourager les migrations de sites de HTTP vers HTTPS, de nouvelles fonctionnalités ont été ajoutées à l'utilisation de ce protocole, au-delà d'une plus grande sécurité. En plus d'offrir les meilleures performances Web, HTTPS offre des fonctionnalités puissantes qui améliorent les conversions sur un site, notamment : Service Workers pour une assistance hors ligne et des notifications Web Push. En plus des fonctionnalités existantes telles que la saisie automatique des cartes de crédit et les API de géolocalisation en HTML5, des fonctionnalités trop puissantes pour être utilisées avec une navigation HTTP non sécurisée.

Pour aider les utilisateurs à naviguer sur le Web en toute sécurité, Chrome lui-même a toujours indiqué les connexions sécurisées via l'utilisation d'une icône dans la barre d'adresse. À ce jour, le navigateur de Google n'a jamais explicitement signalé les connexions HTTP comme non sécurisées, mais comme nous le disions au début de notre article, à partir de janvier 2017 avec Chrome 56, cela ne sera plus vrai : toutes les pages HTTP contenant des champs de saisie de mot de passe ou des informations de carte de crédit seront clairement marquées comme non sécurisées. Google lui-même a déclaré que cette première opération ne serait qu'une partie d'un plan à long terme dont l'objectif final est de marquer tous les sites HTTP comme dangereux.

Un autre aspect de ce plan à long terme réside dans l'étude des nouvelles icônes qui seront utilisées par le nouveau Chrome 56 pour indiquer le manque de sécurité lors de l'utilisation d'une connexion HTTP sur un site Web. En effet, des études récentes montrent que les utilisateurs ne perçoivent pas la non-présence d'une icône de sécurité comme une alarme et, en outre, ils s'habituent également à des alertes et des avertissements qui apparaissent trop fréquemment. Ces considérations font l'objet du document « Rethinking Connection Security Indicators » présenté à l'occasion du douzième symposium sur la confidentialité et la sécurité utilisables (22-24 juin 2016 – Denver USA). Dans le cadre de cette recherche, un nouvel ensemble d'indicateurs de sécurité des navigateurs a été proposé, basé sur la recherche des utilisateurs et une compréhension des défis de conception rencontrés par les différents navigateurs. Pour motiver la nécessité de créer de nouveaux indicateurs de sécurité, tous les points faibles des icônes actuelles ont été mis en évidence sur la base d'un entretien avec un échantillon de 1329 personnes sur les indicateurs actuels utilisés par Google Chrome. 40 icônes ont été identifiées et un entretien a été réalisé pour évaluer leur perception. Au final, 3 indicateurs spécifiques ont été retenus pour signaler la sécurité et le manque de sécurité sur un site web : « nos indicateurs proposés ont été adoptés par Google Chrome, et nous espérons motiver d'autres navigateurs à mettre à jour les leurs également », conclut ainsi le résumé de l'article qui souligne à quel point la perception des utilisateurs est un facteur absolument fondamental pour pousser les webmasters à migrer leurs sites web vers le protocole HTTPS afin d'offrir un meilleur service aux utilisateurs eux-mêmes.

Les données sur l'augmentation du trafic vers les pages HTTPS, l'étude de la perception d'icônes plus significatives pour signaler la sécurité (ou l'absence de sécurité) sur un site Web, l'implémentation sur tous les produits Google et l'ajout de fonctionnalités utiles à des fins commerciales, montrent clairement l'ampleur de l'investissement visant à transformer le Web en un endroit plus sûr pour les utilisateurs. Tout aussi clairement, l’intention de pénaliser tous les sites qui continuent à utiliser le protocole HTTP non sécurisé est évidente.

Après avoir élaboré ces considérations, nous concluons cet aperçu du protocole de sécurité HTTPS par une mention nécessaire du service d'hébergement qui héberge votre site Web. Parmi les nombreuses opportunités actuellement sur le marché, après avoir lu cet article, vous aurez compris l'importance de choisir un fournisseur de services d'hébergement qui vous donne la possibilité d'ajouter, dès l'achat de votre service, un certificat SSL valide qui vous permet de créer la version HTTPS de votre site Web. Comme dans de nombreux cas similaires, la règle « mieux vaut prévenir que guérir » s'applique toujours et agir à temps peut donner à votre site Web un coup de pouce supplémentaire pour grimper dans les résultats de recherche, en particulier Google.

Avez-vous déjà migré votre site Web vers HTTPS ?