Pourquoi HTTPS compte encore une fois le tunnel VPN terminé

Indicateur VPN vert, sensation de confidentialité, puis le navigateur affiche un avertissement de certificat sur le site de la banque. Rien dans cet avertissement n’est amélioré par le tunnel. Un VPN protège le chemin entre votre appareil et son propre serveur ; HTTPS protège la requête entre votre navigateur et le point de terminaison TLS du site. Ils couvrent des tronçons différents du trajet, et l’un ne remplace pas l’autre.

Deux tunnels aux deux extrémités différentes

Le tunnel VPN se termine sur le serveur VPN. Au-delà de ce point, votre trafic continue sur l’internet ordinaire vers la destination. L’opérateur du VPN voit les métadonnées de la connexion, même s’il ne peut pas lire la charge utile.

HTTPS commence dans votre navigateur et se termine au point de terminaison TLS du site. Peu lui importe comment le paquet a atteint le serveur, et il ne dépend pas de la présence du VPN.

C’est pourquoi les deux protections se complètent au lieu de rivaliser. Le VPN cache la requête au réseau local et à votre fournisseur d’accès jusqu’à sa sortie. HTTPS la cache à tout observateur après cette sortie, y compris au fournisseur de VPN lui-même. Aucun ne couvre la lacune de l’autre. Qui comprend cela cesse de demander lequel suffit.

Un formulaire HTTP ordinaire reste ordinaire après la sortie

Un site plus ancien qui accepte un formulaire via HTTP n’est pas protégé au-delà du serveur VPN. Le tunnel porte le formulaire jusqu’à la sortie, et le reste du parcours le porte en clair.

Utilisez la véritable version HTTPS ou un autre canal officiel pour tout ce qui est sensible.

Un indicateur connecté ne change pas le transport de l’application. Le mode HTTPS uniquement du navigateur peut aider à éviter un repli accidentel, mais il ne peut pas réparer un site qui n’a jamais proposé TLS.

Un avertissement de certificat ne se guérit pas avec un VPN

Un nom d’hôte erroné, un certificat expiré, une horloge d’appareil faussée ou une interception peuvent tous provoquer un échec de validation. Le VPN ne rend aucun de ces cas anodin.

Vérifiez l’adresse exacte et l’horloge du système avant tout le reste.

Si une page de connexion réseau est en cause, utilisez le flux normal de portail captif de la plateforme. N’accordez pas d’exception permanente à un site de compte sans rapport parce qu’un réseau d’hôtel vous l’a demandé.

Sur un appareil géré, demandez si un certificat d’inspection est installé. Cela change l’accord de confiance habituel et mérite une explication précise plutôt qu’un haussement d’épaules. Demandez à quoi sert le certificat et à qui il appartient.

Le chiffrement n’arrête pas le pistage

La session transporte les cookies, les connexions et les données de formulaire vers le site exactement comme prévu. Un traqueur peut aussi voyager sur une connexion chiffrée, et la plupart le font.

Un VPN change la route et l’adresse de sortie apparente. Il ne change pas l’identité que vous fournissez via un compte, et il n’efface pas le cookie qui vous suit entre les sites.

Conservez les protections du navigateur que vous utilisez déjà. Le VPN est un ajout, pas un remplacement.

Vérifiez l’adresse, pas l’indicateur

Vérifiez le nom d’hôte dans la barre d’adresse et le certificat que le site présente. Le cadenas signifie que la connexion est chiffrée jusqu’à un certain point de terminaison ; il ne signifie pas que ce point est celui que vous visiez.

Deux commandes montrent le certificat et la chaîne de redirections :

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Si le certificat nomme un autre hôte, arrêtez. Si l’horloge est fausse, corrigez-la avant de réessayer. Si une redirection vous envoie vers du HTTP simple, traitez cela comme un échec du site et non comme une raison de désactiver la validation. L’avertissement du navigateur existe parce que l’alternative est de deviner quel point de terminaison a reçu votre mot de passe.