Ça confirme un peu ce que je craignais : tant que le CA n'aura pas été ajouté sur les PC, il y aura au moins une alerte de sécurité la première fois.
C'est destiné a être utilisé par Mme/M Michu+ et je suis pas sur que ça plaise trop aux services info qui passent leur temps à dire de pas tout accepter :)
L'option d'ajouter un CA auto-signé devrait pas les enchanter non plus :) mais bon on peut pas tout avoir non plus!
Le bon point c'est qu'on ne l'aura plus après sauf si:
- il y a changement de certificat (MITM par exemple)
- on se connecte sur un autre appareil qui utilise le même principe avec la même IP mais un certificat différent
Au final, je pense pas partir sur cette option dans ce contexte. Trop de warning du navigateur si le CA n'est pas ajouté au navigateur ou si on change de méthode de connexion (potentiellement plusieurs IP pour se connecter), donc ça serait sans HTTPS
Par contre dans le cas où je veux juste chiffrer les données envoyées par le client (typiquement mot de passe etc) est ce qu'il n'est pas possible de bricoler un truc en JS?
- la page web embarque du code avec une clé publique
- quand l'utilisateur rempli un formulaire et envoie les données au serveur, elles sont chiffrées avec la clé publique
- le serveur à la clé privée et est capable de déchiffrer les données reçues.
Ça n'apporte pas d'authentification, ça ne chiffre pas les urls, ni les données de la page, mais au moins les données envoyées au serveur peuvent être chiffrées. Ça peut peut-être suffire dans mon cas.
[^] # Re: Oui !
Posté par ykrons . En réponse au message HTTPS sur réseau local. Évalué à 2.
Merci pour les retours!
Ça confirme un peu ce que je craignais : tant que le CA n'aura pas été ajouté sur les PC, il y aura au moins une alerte de sécurité la première fois.
C'est destiné a être utilisé par Mme/M Michu+ et je suis pas sur que ça plaise trop aux services info qui passent leur temps à dire de pas tout accepter :)
L'option d'ajouter un CA auto-signé devrait pas les enchanter non plus :) mais bon on peut pas tout avoir non plus!
Le bon point c'est qu'on ne l'aura plus après sauf si:
- il y a changement de certificat (MITM par exemple)
- on se connecte sur un autre appareil qui utilise le même principe avec la même IP mais un certificat différent
Au final, je pense pas partir sur cette option dans ce contexte. Trop de warning du navigateur si le CA n'est pas ajouté au navigateur ou si on change de méthode de connexion (potentiellement plusieurs IP pour se connecter), donc ça serait sans HTTPS
Par contre dans le cas où je veux juste chiffrer les données envoyées par le client (typiquement mot de passe etc) est ce qu'il n'est pas possible de bricoler un truc en JS?
- la page web embarque du code avec une clé publique
- quand l'utilisateur rempli un formulaire et envoie les données au serveur, elles sont chiffrées avec la clé publique
- le serveur à la clé privée et est capable de déchiffrer les données reçues.
Ça n'apporte pas d'authentification, ça ne chiffre pas les urls, ni les données de la page, mais au moins les données envoyées au serveur peuvent être chiffrées. Ça peut peut-être suffire dans mon cas.