13 novembre 2019
A compter de décembre, Chrome va bloquer les contenus non sécurisés sur les pages https
Prévue pour décembre 2019, la mise à jour Chrome 79 promet des changements importants en matière de sécurité. Le temps des contenus mixtes non sécurisés est désormais compté, ce qui sera le cas à partir de février 2020.
En tant que principal acteur du marché des navigateurs, Google a su encourager le développement et l'utilisation du protocole HTTPS sur l'ensemble des pages web visitées par les internautes. Toutefois, si le protocole se veut plus sécurisé que son prédécesseur, il n'en demeure pas moins exposé à des failles.
Certaines pages sécurisées en apparence sont entachées de la présence de contenu mixte, que Google souhaite définitivement bloquer dans son navigateur Chrome.
Il arrive qu'une page sécurisée et chargée via HTTPS comporte des ressources additionnelles, chargées quant à elles via une connexion HTTP. On parle alors de contenu mixte (« mixed content »), c'est le cas quand les sites sont pas forcément bien faits.
Une page web HTTPS contenant des données HTTP (images, vidéos, scripts, feuilles de style) n'est que partiellement chiffrée et est donc plus exposée à d'éventuelles attaques.
Le navigateur Google Chrome entend bloquer, puis définitivement supprimer l'ensemble des contenus mixtes encore présents sur les pages web. Pour faire de cette entreprise délicate un succès, le leader mise sur une approche progressive et par étapes, laissant ainsi aux sites un nécessaire temps d'adaptation et de transition. Le blocage graduel du contenu mixte débutera en décembre 2019, avec le lancement de Chrome 79. Certaines pages pourront être débloquées par les utilisateurs s'ils les considèrent sécurisées et dignes de confiance. Chrome 80, attendu pour sa part en début d'année prochaine, se fera déjà plus sévère, notamment au niveau des ressources audio et vidéos, bloquées par défaut.
Enfin, le lancement de Chrome 81 vers février 2020 marquera la dernière étape de ce vaste chantier, bloquant par défaut tous les contenus mixtes présents sur des pages HTTPS.
Comment voir si votre site va être touché ?
• D'abord, il faut qu'il soit en https avec un certificat valable. Attention, Google va également bloquer les certificats de mauvaise qualité essentiellement les versions 1.0 et 1.1 de TLS (Transport Layer Security).
• Si vous êtes en http, il y a urgence si vous souhaitez continuer à avoir du trafic. Dans la barre d'adresse de Chrome, vous avez actuellement “un cercle avec un I dedans + le texte Non sécurisé”.
• Si vous êtes en https et en contenu mixte, actuellement, vous avez uniquement le cercle avec le I à l'intérieur.
En conclusion, si vous n'avez pas le cadenas dans la barre d'adresse, vous allez avoir rapidement un problème avec votre site. Par exemple, si des images ne sont pas chargés en https, vous aurez à la place du texte avec la description de l'image si elle a bien été remplie ou une croix rouge !!
Et plus grave, si cela concerne des feuilles de style ou des scripts, votre menu ou les actions sur votre site ne fonctionneront plus !!
Lire l'argumentation complète de Google (en anglais)
