Présentation du protocole HTTPS

Toute communication envoyée sur un réseau d'ordinateurs peut être interceptée, déchiffrée ou modifiée. Pour sécuriser les communications sur un réseau, l'utilisation de HTTPS est recommandée. HTTPS est une norme de technologie de sécurité qui permet d'établir une liaison cryptée entre un serveur Web et un client Web (par exemple un navigateur Internet). HTTPS facilite la sécurisation des communications sur le réseau en identifiant et en authentifiant le serveur, ainsi que la confidentialité et l'intégrité des données transmises. Etant donné que le protocole HTTPS empêche l'écoute ou la falsification des informations envoyées sur le réseau, il doit être utilisé avec un mécanisme de connexion ou d'authentification et sur tout réseau sur lequel transite des informations confidentielles ou propriétaires.

Créer un certificat du serveur

Pour qu'il soit possible de créer une connexion HTTPS entre un serveur Web et un client, le serveur Web a besoin d'un certificat du serveur. Un certificat est un fichier numérique contenant des informations sur l'identité du serveur Web. Ce certificat contient également la technique de chiffrement à utiliser lors de l'établissement d'un canal sécurisé entre le server Web et le client. Il doit être créé par le propriétaire du site Web et signé numériquement. Il existe trois types de certificats : signé par une autorité de certification, de domaine et auto-signé. Ils sont expliqués ci-dessous.

Certificats signés par une autorité de certification

Les certificats signés par une autorité de certification sont utilisés pour les systèmes de production et particulièrement si des utilisateurs doivent accéder à votre déploiement d'ArcGIS Server en dehors de votre organisation. Par exemple, si votre serveur ne se trouve pas derrière votre pare-feu et qu'il est accessible sur Internet, les utilisateurs qui y accèdent en dehors de votre organisation sont certains, s'ils utilisent un certificat signé par une autorité de certification, que l'identité du site Web a été vérifiée.

Un certificat peut non seulement être signé par le propriétaire du site Web, mais également par une autorité de certification indépendante. Il s'agit généralement d'un tiers de confiance qui peut attester de l'authenticité d'un site Web. Si un site Web est digne de confiance, l'autorité de certification ajoute sa propre signature numérique au certificat auto-signé. Les clients Web ont ainsi la garantie que l'identité du site Web a été vérifiée.

En cas d'utilisation d'un certificat émis par une autorité de certification connue, une communication sécurisée entre le serveur et le client Web est établie automatiquement sans qu'aucune action spéciale ne soit requise de la part de l'utilisateur. Vous ne remarquez aucun message d'avertissement dans le navigateur Web, car le site Web a été vérifié par l'autorité de certification.

Certificats de domaines

Si votre serveur se trouve derrière votre pare-feu et que vous ne pouvez pas utiliser de certificat signé par une autorité de certification, vous pouvez utiliser un certificat de domaine. Un certificat de domaine est un certificat interne signé par l'autorité de certification de votre organisation. En utilisant un certificat de domaine, vous pouvez réduire les coûts associés à l'émission de certificats et faciliter leur déploiement, car ils sont rapidement générés et approuvés au sein de votre organisation à des fins internes.

Les utilisateurs de votre domaine ne rencontreront aucun comportement inattendu ou message d'avertissement, lesquels sont habituellement associés à un certificat auto-signé, car le site Web a été vérifié par le certificat de domaine. Toutefois, les certificats de domaines ne sont pas validés par une autorité de certification externe. Par conséquent, les utilisateurs qui visitent votre site en dehors de votre domaine ne pourront pas vérifier que votre certificat représente réellement l'entité qu'il prétend représenter. Les utilisateurs externes verront dans le navigateur des avertissements indiquant que le site n'est pas approuvé. Ils pourront alors penser qu'ils communiquent avec une partie malveillante et ne pas visiter votre site.

Certificats auto-signés

Un certificat signé uniquement par le propriétaire du site Web est désigné sous le nom de certificat auto-signé. Ce type de certificat est généralement utilisé sur les sites Web accessibles aux seuls utilisateurs du réseau interne (LAN) de l'organisation. Puisque la vérification de l'identité du site Web n'est pas nécessaire, l'utilisation d'un certificat auto-signé garantit des communications réseau sécurisées au sein de l'organisation.

La création d'un certificat auto-signé n'est pas une option valide dans un environnement de production, car elle génère des résultats inattendus et une expérience peu satisfaisante pour les utilisateurs du site.

Remarque :

Tout client Web, tel qu'un navigateur Web, qui se connecte à un site Web à l'aide d'un certificat auto-signé affiche un avertissement indiquant que la fiabilité du site en question n'a pas pu être vérifiée. Pour plus d'informations sur la suppression des avertissements des certificats auto-signés, reportez-vous à la rubrique Suppression d'avertissements à partir de certificats auto-signés.