Cheat sheet — HTTPS, TLS, PFS & PKI
Le fonctionnement réel d'HTTPS (handshake TLS, asymétrique puis symétrique), la Perfect Forward Secrecy et son évolution de TLS 1.0 à 1.3, et les composants d'une PKI (CA, RA, certificats, CRL).
Mis à jour le 21 sept. 2026
Le handshake HTTPS, étape par étape
- Client Hello — le navigateur envoie sa version TLS, les cipher suites
supportées et un
client random. - Server Hello + certificat — le serveur choisit une suite, renvoie un
server randomet son certificat X.509 (clé publique + identité CN/SAN), signé par une autorité de certification (CA). - Vérification — le client valide le certificat : émis par une CA de confiance, domaine correspondant, signature correcte.
- Échange de clé :
- RSA (ancien) : le client chiffre un pre-master secret avec la clé publique du serveur. Pas de PFS.
- ECDHE (moderne) : clés éphémères des deux côtés, secret commun via Diffie-Hellman → Perfect Forward Secrecy.
- Clé de session — dérivée de
client random + server random + secret, identique des deux côtés, utilisée pour le chiffrement symétrique (AES, ChaCha20). - Finished des deux côtés → canal sécurisé.
Pourquoi asymétrique puis symétrique ? L’asymétrique authentifie le serveur et établit la clé ; le symétrique chiffre le trafic réel car bien plus rapide.
Perfect Forward Secrecy (PFS)
La PFS garantit qu’une clé privée volée plus tard ne permet pas de déchiffrer les sessions passées enregistrées (clés de session éphémères).
| Version | PFS |
|---|---|
| TLS 1.0 / 1.1 | pas par défaut (RSA key exchange ; DHE rare car lent) |
| TLS 1.2 | possible et recommandé via ECDHE, mais pas imposé (choix de config) |
| TLS 1.3 | obligatoire : ECDHE éphémère uniquement, RSA/DH statique supprimés |
TLS 1.3 est la première version où l’on ne peut plus configurer une connexion sans PFS, même par accident.
PKI (Public Key Infrastructure)
Système de gestion des clés et certificats assurant authentification, confidentialité, intégrité et non-répudiation.
- CA (Autorité de Certification) — émet et signe les certificats.
- RA (Autorité d’Enregistrement) — vérifie l’identité avant émission.
- Certificat numérique — lie une clé publique à une identité, signé par la CA.
- Répertoire — stocke et distribue certificats et listes de révocation.
- CRL — liste des certificats révoqués avant expiration.
Cycle de vie
Génération de la paire de clés → demande (CSR) à la RA → vérification → émission par la CA → utilisation (TLS, S/MIME, VPN, signature) → révocation (CRL / OCSP) si la clé privée est compromise.