{"id":4043,"date":"2023-03-28T16:27:00","date_gmt":"2023-03-28T14:27:00","guid":{"rendered":"https:\/\/staging.ekinops.com\/blog\/cybersecurity\/https-traffic-and-web-filtering-90-of-traffic-in-2020-it-departments-be-prepared"},"modified":"2026-11-06T14:46:54","modified_gmt":"2026-11-06T12:46:54","slug":"flux-https-et-filtrage-web-90-du-trafic-en-2020-dsi-soyez-prets","status":"publish","type":"post","link":"https:\/\/www.ekinops.com\/fr\/blog\/cybersecurity\/https-traffic-and-web-filtering-90-of-traffic-in-2020-it-departments-be-prepared","title":{"rendered":"Flux HTTPS et filtrage web : 90% du trafic en 2020 ! DSI soyez pr\u00eats !"},"content":{"rendered":"

Cette transformation se v\u00e9rifie d\u2019ailleurs \u00e0 tous les niveaux puisque la quasi-totalit\u00e9 des navigateurs web consid\u00e8rent d\u00e9sormais l\u2019acc\u00e8s \u00e0 un site HTTP non chiffr\u00e9 comme dangereux<\/strong> et pr\u00e9viennent l\u2019utilisateur par des alertes explicites.<\/p>\n\n\n\n

Pour autant, l\u2019explosion du trafic internet s\u00e9curis\u00e9 ne simplifie pas la t\u00e2che du filtrage HTTPS pour les DSI et RSSI qui font face \u00e0 un v\u00e9ritable casse-t\u00eate technique avec le d\u00e9chiffrement SSL\/TLS et juridique puisque l\u2019entreprise n\u2019est pas autoris\u00e9e \u00e0 d\u00e9chiffrer tous les flux (dans le domaine bancaire ou de la sant\u00e9 par exemple\u2026). En effet, l\u2019analyse des flux \u00e9chang\u00e9s entre le r\u00e9seau interne de l\u2019entreprise et l\u2019ext\u00e9rieur est vital en mati\u00e8re de s\u00e9curit\u00e9 web et de protection des syst\u00e8mes d\u2019information<\/strong>. Quelles sont donc les recommandations pour prendre en compte cette nouvelle exigence li\u00e9e au HTTPS ?<\/p>\n\n\n\n

Bien comprendre la nature des flux HTTPS pour la s\u00e9curit\u00e9 web en entreprise<\/h2>\n\n\n\n

Le protocole HTTPS vient compl\u00e9ter le protocole historique HTTP avec une couche de s\u00e9curit\u00e9 suppl\u00e9mentaire qui permet d\u2019\u00e9changer des informations s\u00e9curis\u00e9es sur un r\u00e9seau TCP\/IP. Cette couche suppl\u00e9mentaire correspond au protocole TLS (Transport Layer Security) qui est une version plus r\u00e9cente et surtout plus s\u00e9curis\u00e9e du protocole SSL (Secure Socket Layer) plus connu.<\/strong><\/p>\n\n\n\n

Lorsque les flux HTTP sont encapsul\u00e9s dans le protocole TLS, cela garantit \u00e0 la fois la confidentialit\u00e9 et l\u2019int\u00e9grit\u00e9 des communications depuis le serveur jusqu\u2019aux postes clients connect\u00e9s tout en assurant leur authentification. Toutes les parties prenantes ont ainsi la certitude que l\u2019on ne pourra pas truquer les informations \u00e9chang\u00e9es : le site web que l\u2019on consulte est bien celui que l\u2019on s\u2019attend \u00e0 voir et les internautes peuvent en toute tranquillit\u00e9 fournir leur num\u00e9ro de carte bancaire et\/ou renseigner des informations personnelles.<\/p>\n\n\n\n

Dans un contexte de prolif\u00e9ration des cyber menaces, il est \u00e9vident que la g\u00e9n\u00e9ralisation des connexions s\u00e9curis\u00e9es sur le web est une tendance de fond positive, tant dans la sph\u00e8re priv\u00e9e que pour les entreprises. Mais les sp\u00e9cialistes de la s\u00e9curit\u00e9 informatique ne s\u2019y trompent pas : si les flux sont chiffr\u00e9s, ils peuvent \u00e9videmment pr\u00e9senter des risques cach\u00e9s !<\/strong> En effet, les hackers peuvent tenter d\u2019y dissimuler leurs malwares et certaines URL en HTTPS peuvent bien \u00e9videmment \u00eatre malveillantes. C\u2019est pour cela qu\u2019il est d\u00e9sormais indispensable d\u2019enrichir ses dispositifs traditionnels de s\u00e9curit\u00e9 pour d\u00e9chiffrer ces flux et v\u00e9rifier qu\u2019il n\u2019y ait pas de menaces \u00e0 l\u2019int\u00e9rieur\u2026<\/p>\n\n\n\n

Filtrage HTTPS : l’indispensable d\u00e9chiffrement TLS\/SSL<\/h2>\n\n\n\n

Pour faire face \u00e0 ces risques cach\u00e9s et aider les organisations \u00e0 prot\u00e9ger leur syst\u00e8me d\u2019information, l\u2019ANSSI a \u00e9tabli des recommandations. Malgr\u00e9 tout, le protocoleTLS apportant une s\u00e9curit\u00e9 et une confidentialit\u00e9 des \u00e9changes, \u00ab casser \u00bb cette protection n\u2019est pas forc\u00e9ment simple techniquement ni d\u00e9nu\u00e9 d\u2019obligations l\u00e9gales \u00e0 respecter\u2026<\/strong><\/p>\n\n\n\n

Evidemment, la liste blanche qui n\u2019autorise la navigation que vers les URL reconnues et pr\u00e9alablement qualifi\u00e9es, serait un excellent moyen de se prot\u00e9ger d\u2019\u00e9ventuelles menaces mais elle n\u2019est pas forc\u00e9ment applicable dans tous les secteurs d\u2019activit\u00e9. Il est donc parfois n\u00e9cessaire de d\u00e9chiffrer\u2026<\/p>\n\n\n\n

Pour garantir une communication s\u00e9curis\u00e9e, le m\u00e9canisme utilis\u00e9 dans le cadre d\u2019un \u00e9change HTTPS repose sur une authentification \u00e0 l\u2019aide d\u2019un certificat associ\u00e9 au site web que le navigateur du poste client va v\u00e9rifier, ainsi que sur l\u2019\u00e9change de cl\u00e9s publique et priv\u00e9e. La cl\u00e9 publique (accessible \u00e0 tous) est utilis\u00e9e pour chiffrer les donn\u00e9es tandis que seule la cl\u00e9 priv\u00e9e permet de les d\u00e9chiffrer.<\/p>\n\n\n\n

Pour pouvoir intercepter cette communication s\u00e9curis\u00e9e,<\/strong> la passerelle de s\u00e9curit\u00e9 web doit recourir \u00e0 la technique du MITM ou \u00ab Man in the middle \u00bb en validant le certificat elle-m\u00eame et en \u00e9tablissant une connexion o\u00f9 elle se fait passer en quelque sorte pour l\u2019utilisateur. La passerelle de s\u00e9curit\u00e9 web va donc reformer la communication gr\u00e2ce au jeu des certificats sans pour autant briser la cha\u00eene de s\u00e9curit\u00e9 : l\u2019utilisateur continue \u00e0 acc\u00e9der au site web de mani\u00e8re s\u00e9curis\u00e9e mais la passerelle peut v\u00e9rifier la nature des contenus \u00e9chang\u00e9s. Pour cela, elle doit int\u00e9grer un pack de d\u00e9chiffrement HTTPS (SSL) comme nous le proposons chez Ekinops.<\/p>\n\n\n\n

L\u2019objectif est \u00e9videmment de bloquer une \u00e9ventuelle menace le plus t\u00f4t possible, avant qu\u2019elle n\u2019atteigne le poste de l\u2019utilisateur final qui est de plus en plus la cible des cybercriminels. Il est d\u2019ailleurs essentiel de d\u00e9velopper une meilleure culture de la s\u00e9curit\u00e9 aupr\u00e8s des utilisateurs finaux et faire changer les comportements<\/strong>.<\/p>\n\n\n\n

Les limites du d\u00e9chiffrement SSL et du filtrage des contenus HTTPS<\/h2>\n\n\n\n

Le filtrage HTTPS et le d\u00e9chiffrement SSL posent \u00e9videmment des probl\u00e9matiques d\u2019optimisation technique, de droits et d\u2019obligations.<\/strong> La premi\u00e8re exigence est \u00e9videmment de garantir le plus haut niveau de s\u00e9curit\u00e9 et de confidentialit\u00e9 autour de la passerelle de s\u00e9curit\u00e9 web qui va traiter des donn\u00e9es normalement chiffr\u00e9es et donc potentiellement confidentielles.<\/p>\n\n\n\n

Ensuite, le d\u00e9chiffrement SSL est consommateur de ressources machines ; la bonne pratique est donc de mettre en place des exceptions en ce qui concerne certains flux comme ceux des logiciels m\u00e9tiers autoris\u00e9s par exemple. Ceci afin de concentrer ses efforts de d\u00e9chiffrement sur d\u2019autres natures de trafic comme YouTube, les r\u00e9seaux sociaux, l\u2019utilisation d\u2019un webmail, etc.<\/p>\n\n\n\n

En effet, le d\u00e9chiffrement de ces flux est parfois indispensable<\/strong> au regard des obligations qui p\u00e8sent sur l\u2019entreprise en mati\u00e8re de conformit\u00e9 l\u00e9gale et culturelle du surf internet :<\/strong> des vid\u00e9os YouTube peuvent proposer des tutoriaux pour fabriquer des grenades artisanales ou donner acc\u00e8s \u00e0 des images tr\u00e8s violentes et ce type de navigation ne peut \u00eatre accept\u00e9 dans l\u2019entreprise. Par contre En revanche, il est \u00e9galement interdit de d\u00e9chiffrer des flux li\u00e9s \u00e0 la navigation sur certains sites web comme par exemple lorsqu\u2019un utilisateur va consulter le site de sa banque, de son assureur ou acc\u00e8de au portail AMELI puisque des donn\u00e9es personnelles peuvent alors \u00eatre \u00e9chang\u00e9es…<\/p>\n\n\n\n

Les exigences de conformit\u00e9 l\u00e9gale en mati\u00e8re de d\u00e9chiffrement SSL sont donc cruciales et sont exprim\u00e9es dans la note technique de l\u2019ANSSI. Il faut donc vous assurer que votre proxy est conforme et respecte bien ces obligations comme nous le faisons chez Ekinops.<\/h3>\n\n\n\n

Filtrage HTTPS : l’int\u00e9gration indispensable du proxy autonome avec l’UTM<\/h3>\n\n\n\n

Enfin, pour que votre strat\u00e9gie de filtrage HTTPS soit r\u00e9ellement efficace, il ne faut pas se tromper d\u2019outils et ne pas faire reposer le d\u00e9chiffrement SSL uniquement sur l\u2019UTM (Unified Threat Management) et\/ou le Firewall. En effet, on sait aujourd\u2019hui que le d\u00e9chiffrement SSL sur un Firewall peut repr\u00e9senter une perte de performance allant jusqu\u2019\u00e0 74%<\/strong> (NSS Labs, John W. Pirc, Significant SSL performance loss leaves much room for improvement)<\/em>, il est donc indispensable d\u2019ajouter un Proxy autonome \u00e0 votre Firewall.<\/p>\n\n\n\n

Pour votre strat\u00e9gie de cybers\u00e9curit\u00e9, il s\u2019agit de mettre en place une protection en temps r\u00e9el pour distinguer les flux r\u00e9seau l\u00e9gitimes des flux suspects qui doivent \u00eatre filtr\u00e9s par le serveur DNS et ainsi assurer une protection optimale du syst\u00e8me d\u2019information.<\/p>\n\n\n\n

La passerelle de s\u00e9curit\u00e9 web Ekinops r\u00e9pond pr\u00e9cis\u00e9ment \u00e0 ce besoin et propose plusieurs modes d\u2019int\u00e9gration que l\u2019on peut mettre en \u0153uvre tr\u00e8s rapidement. Cela permet d\u2019activer un service de filtrage DNS qui va contenir les utilisateurs et les acc\u00e8s, que ce soit pour des \u00e9quipements non ma\u00eetris\u00e9s ou des \u00e9quipements connect\u00e9s, et appliquer des r\u00e8gles de filtrage. Gr\u00e2ce \u00e0 la qualit\u00e9 de la base URL Ekinops, les 2% de sites web inconnus sont bloqu\u00e9s au niveau du serveur DNS.<\/p>\n\n\n\n

Pour votre strat\u00e9gie de cybers\u00e9curit\u00e9, il s\u2019agit de mettre en place une protection en temps r\u00e9el pour distinguer les flux r\u00e9seau l\u00e9gitimes des flux suspects qui doivent \u00eatre filtr\u00e9s par le serveur DNS et ainsi assurer une protection optimale du syst\u00e8me d\u2019information.<\/p>\n\n\n\n

La passerelle de s\u00e9curit\u00e9 web Ekinops r\u00e9pond pr\u00e9cis\u00e9ment \u00e0 ce besoin et propose plusieurs modes d\u2019int\u00e9gration que l\u2019on peut mettre en \u0153uvre tr\u00e8s rapidement. Cela permet d\u2019activer un service de filtrage DNS qui va contenir les utilisateurs et les acc\u00e8s, que ce soit pour des \u00e9quipements non ma\u00eetris\u00e9s ou des \u00e9quipements connect\u00e9s, et appliquer des r\u00e8gles de filtrage. Gr\u00e2ce \u00e0 la qualit\u00e9 de la base URL Ekinops, les 2% de sites web inconnus sont bloqu\u00e9s au niveau du serveur DNS.<\/p>\n\n\n\n

Le filtrage web reste un des piliers d’une strat\u00e9gie de cybers\u00e9curit\u00e9 et l’UTM ne peut pas tout (bien faire)<\/h2>\n\n\n\n

Aujourd\u2019hui, on ne peut plus \u00eatre serein en mati\u00e8re de cybers\u00e9curit\u00e9, les attaques sont in\u00e9vitables et les malwares peuvent bloquer le bon fonctionnement de l\u2019entreprise comme cela a \u00e9t\u00e9 le cas cette ann\u00e9e pour le groupe agroalimentaire Fleury Michon<\/a>qui a \u00e9t\u00e9 suffisamment touch\u00e9 pour devoir d\u00e9connecter l\u2019ensemble de ses syst\u00e8mes afin d\u2019\u00e9viter la propagation de la menace. Le filtrage web et le d\u00e9chiffrement SSL-TLS des flux HTTPS qui contribuent \u00e0 mieux d\u00e9tecter les codes malveillants sont donc essentiels pour une strat\u00e9gie de cybers\u00e9curit\u00e9 performante.<\/strong><\/p>\n\n\n\n

Par ailleurs, il ne faut pas oublier la dimension juridique et de responsabilit\u00e9 l\u00e9gale li\u00e9es \u00e0 l’utilisation d’internet qui font partie des enjeux du filtrage web. Les UTM qui s\u2019appuient sur des cat\u00e9gories internationales ne permettent pas de b\u00e9n\u00e9ficier du m\u00eame niveau de qualit\u00e9 que notre base d\u2019URL construite par une \u00e9quipe fran\u00e7aise depuis 16 ans.<\/strong> La cons\u00e9quence est souvent que le manque de finesse des cat\u00e9gories et des URL bloque de mani\u00e8re abusive certains sites, class\u00e9s \u00e0 tort dans la mauvaise cat\u00e9gorie par les robots. Avec Ekinops, le site de la mairie de Pornic ou celui de Paris-expo ne sera pas class\u00e9 en pornographie et un m\u00e9decin faisant des recherches sur le syst\u00e8me reproducteur masculin ne sera pas bloqu\u00e9. Au contraire, il y a \u00e9norm\u00e9ment de cat\u00e9gories diff\u00e9rentes dans Ekinops et la granularit\u00e9 des URL est tr\u00e8s appr\u00e9ci\u00e9e par nos clients pour personnaliser leurs r\u00e8gles utilisateurs.<\/p>","protected":false},"excerpt":{"rendered":"

On assiste aujourd\u2019hui \u00e0 la g\u00e9n\u00e9ralisation du trafic internet s\u00e9curis\u00e9 via le protocole HTTPS (HyperText Transfer Protocol Secure ou \u00ab protocole de transfert hypertexte s\u00e9curis\u00e9 \u00bb) qui repr\u00e9sente d\u00e9sormais plus de 80% des flux web en France et qui attendra probablement les 90% d\u00e8s 2020. Cette progression r\u00e9pond \u00e0 une tendance de fond de s\u00e9curisation des \u00e9changes de donn\u00e9es. Elle r\u00e9pond \u00e9galement \u00e0 l\u2019impulsion de Google qui favorise le r\u00e9f\u00e9rencement naturel des sites internet en HTTPS dans son moteur de recherche et p\u00e9nalise ceux qui ne le sont pas.<\/p>","protected":false},"author":10,"featured_media":5149,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[82],"tags":[],"class_list":["post-4043","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurity"],"_links":{"self":[{"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/posts\/4043","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/comments?post=4043"}],"version-history":[{"count":1,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/posts\/4043\/revisions"}],"predecessor-version":[{"id":5150,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/posts\/4043\/revisions\/5150"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/media\/5149"}],"wp:attachment":[{"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/media?parent=4043"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/categories?post=4043"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/tags?post=4043"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}