J'ai commencé la construction d'un site web pour la première fois et j'ai choisi de rediriger tout le traffic vers l'HTTPS par défaut.
Ce qui est une grave erreur. En effet, le visiteur peut ainsi s'habituer à taper l'adresse sans HTTPS et se reposer sur la redirection sans y prêter attention. En cas d'attaque, la première chose que fera un pirate en interception et réécriture sera de faire sauter la redirection en question et de laisser l'internaute rester en HTTP.
Il y a plusieurs alternatives à cette approche dangereuse :
ne pas fournir du tout d'accès HTTP : l'internaute qui essaie sans HTTPS tombe sur un refus de connexion et doit de facto s'habituer à bien demander du HTTPS ;
fournir un simple page d'erreur en HTTP, expliquant qu'il faut bien taper HTTPS ;
utiliser HSTS, l'internaute essayant en HTTP se retrouvant dirigé en HTTPS et son navigateur retenant cela pour ne plus jamais y accéder en HTTP.
# Redirection HTTPS
Posté par 🚲 Tanguy Ortolo (site web personnel) . En réponse au journal Passer au HTTPS pour améliorer son PageRank. Évalué à 8.
Ce qui est une grave erreur. En effet, le visiteur peut ainsi s'habituer à taper l'adresse sans HTTPS et se reposer sur la redirection sans y prêter attention. En cas d'attaque, la première chose que fera un pirate en interception et réécriture sera de faire sauter la redirection en question et de laisser l'internaute rester en HTTP.
Il y a plusieurs alternatives à cette approche dangereuse :