Qu'est-ce que le TLS ?

Le protocole TLS (Transport Layer Security) est un protocole cryptographique qui sécurise les données transitant entre deux points d'extrémité – ce qui se traduit notamment par l'icône représentant un cadenas dans la barre d'adresse d'un navigateur. Une procédure d'établissement de connexion permet d'authentifier les parties et de négocier les clés de chiffrement ; le protocole de transmission qui s'ensuit chiffre ensuite chaque octet échangé via la connexion et vérifie son intégrité.

Points clés à retenir

• Le protocole TLS assure la sécurité des données en transit pour le protocole HTTPS, les API, les VPN et les tunnels client.
• Une poignée de main permet d'authentifier les pairs et de négocier les clés avant tout transfert de données.
• TLS 1.3 est la norme actuelle ; les versions TLS 1.0 et 1.1 sont obsolètes.
• SSL est le prédécesseur obsolète du protocole TLS ; ces deux noms sont souvent utilisés de manière interchangeable.
• Versa SASE Les clients peuvent utiliser le protocole TLS comme tunnel de transport pour sécuriser les passerelles d'accès.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · TLS et Versa · FAQ

Pourquoi le protocole TLS est-il important ?

Le protocole TLS est celui qui garantit la fiabilité du Web moderne. Chaque connexion HTTPS – chaque formulaire de connexion, chaque page de paiement, chaque appel d’API entre deux services – repose sur le protocole TLS pour chiffrer les données en transit et vérifier que le serveur distant est bien celui qu’il prétend être. Sans lui, n’importe qui se trouvant sur le chemin du réseau pourrait lire ou modifier le trafic transitant entre le client et le serveur.

Son importance va bien au-delà des navigateurs : le protocole TLS sécurise le transfert des e-mails, les tunnels VPN et d’accès à distance, ainsi que le trafic entre services au sein des architectures applicatives modernes. Comme il s’agit d’une norme ouverte et clairement définie, les clients et les serveurs de différents fournisseurs interagissent sans nécessiter de travail d’intégration spécifique. Les navigateurs et les outils de sécurité considèrent de plus en plus les connexions non chiffrées comme activement dangereuses – en signalant le protocole HTTP en clair et en exigeant des certificats valides –, ce qui rend le protocole TLS quasi obligatoire pour tout service accessible depuis Internet.

Qu'est-ce que le TLS ?

Le protocole TLS fonctionne en deux phases. La procédure d'établissement de la connexion permet d'établir la confiance et de définir des secrets partagés : le client et le serveur s'accordent sur une version TLS et un ensemble de algorithmes de chiffrement, le serveur présente un certificat prouvant son identité (validé par une autorité de certification de confiance), et les deux parties dérivent une clé de session partagée – en utilisant l'échange de clés Diffie-Hellman dans le protocole TLS moderne, de sorte qu'une éventuelle compromission future de la clé ne permette pas de déchiffrer une session passée enregistrée.

Une fois la négociation établie, le protocole de transmission prend le relais : il chiffre les données de l'application, les divise en segments et ajoute un contrôle d'intégrité à chacun d'entre eux, ce qui permet de détecter toute altération ou toute relecture. Le protocole TLS s'exécute au-dessus du protocole TCP et se situe en dessous du protocole d'application (HTTP, SMTP ou un protocole personnalisé) ; c'est pourquoi il sécurise tant de types de trafic sans que ces protocoles aient eux-mêmes besoin d'être modifiés.

Types de TLS

Quatre versions majeures ont été publiées. TLS 1.0 et TLS 1.1 sont obsolètes : les principaux navigateurs ont cessé de les prendre en charge dès 2020, et l’IETF les a officiellement déclarées obsolètes dans la RFC 8996 (2021) en raison de failles connues. TLS 1.2 reste courant et est sécurisé lorsqu’il est configuré avec des suites de chiffrement modernes, mais il autorise toujours des options plus anciennes et moins sûres, à moins d’être restreint. TLS 1.3 (RFC 9846, qui a consolidé et rendu obsolète la RFC 8446 d’origine) est la norme actuelle : elle raccourcit la procédure d’établissement de la connexion, supprime entièrement les suites de chiffrement héritées et rend obligatoire la confidentialité persistante.

Au-delà des versions, deux modes sont importants. Le TLS standard n’authentifie que le serveur, ce qui est suffisant pour la plupart du trafic web. Le TLS mutuel (mTLS) exige en outre que le client présente un certificat, authentifiant ainsi les deux parties – une pratique courante dans les architectures « Zero Trust ». Son homologue sans connexion, le DTLS, adapte ces mêmes concepts aux transports UDP, où la surcharge du TCP est indésirable – une solution adaptée aux tunnels VPN et au trafic en temps réel. Une suite de chiffrement est l’ensemble négocié d’algorithmes – échange de clés, chiffrement et contrôle d’intégrité – qu’une session TLS donnée utilise effectivement.

TLS & Versa

Un client « Versa »SASE peut accéder à une passerelle d’accès sécurisée via TLS, aux côtés d’IPsec et de DTLS, en tant que l’un des protocoles de transport dans l’ordre des tunnels configuré. Les administrateurs définissent les paramètres TLS directement sur l’objet « Secure Access Service Gateway » : les versions TLS minimales et maximales prises en charge (de TLS 1.0 à TLS 1.3), une liste autorisée de suites de chiffrement TLS, le port d’écoute TLS (443 par défaut) et un identifiant de profil TLS associant le tunnel à son certificat et à ses clés. Cette plage de versions correspond à celle exposée par l’interface de configuration de la passerelle ; la documentation relative au profil VPN SSL décrit séparément ses tunnels comme étant de type TLS 1.2. Vérifiez donc quelle interface régit votre déploiement lorsque vous renforcez la sécurité des versions.

Les mêmes options relatives au protocole TLS et à l'ordre des tunnels s'affichent, que la passerelle soit configurée pour Secure SD-WAN ou à des déploiements NGFW, ce qui garantit la cohérence du modèle TLS dans toutes les architectures d’accès sécurisé d’ Versa. Limiter la version minimale à TLS 1.2 ou supérieure et réduire la liste des suites de chiffrement sont les leviers dont disposent les administrateurs pour renforcer la sécurité TLS d’une passerelle sans modifier ses options IPsec ou DTLS.

Questions fréquentes

Quelle est la différence entre TLS et SSL ?

Le protocole SSL est le prédécesseur du protocole TLS ; toutes les versions de SSL sont désormais obsolètes et considérées comme non sécurisées. TLS 1.0 a d’abord été une mise à jour mineure de SSL 3.0, mais les deux protocoles ont depuis pris des chemins différents. Le terme « SSL » est encore utilisé de manière informelle pour désigner le protocole TLS : un « certificat SSL » est en réalité un certificat TLS.

Quelle est la différence entre TLS et DTLS ?

Le protocole TLS fonctionne sur TCP et repose sur un flux d'octets fiable et ordonné. Le protocole DTLS adapte ces mêmes concepts au protocole UDP, en y ajoutant sa propre gestion de la perte et du réordonnancement des paquets, ce qui le rend adapté aux tunnels VPN et au trafic en temps réel, où la surcharge liée au protocole TCP n'est pas souhaitée.

Qu'est-ce que le TLS mutuel (mTLS) ?

Le protocole TLS mutuel étend la procédure d'établissement de connexion standard de manière à ce que le client et le serveur présentent tous deux des certificats, s'authentifiant ainsi mutuellement plutôt que de se limiter à l'authentification du serveur. Ce protocole est couramment utilisé dans les communications de service à service et les architectures « Zero Trust », où chaque connexion doit vérifier l'identité des deux entités.

Pourquoi les versions 1.0 et 1.1 du protocole TLS ont-elles été dépréciées ?

Les versions TLS 1.0 et 1.1 s'appuient sur des algorithmes cryptographiques et des mécanismes d'établissement de connexion obsolètes présentant des failles connues, notamment une vulnérabilité à certaines attaques par rétrogradation. Les principaux navigateurs ont cessé de les prendre en charge en 2020, et l'IETF a officiellement déprécié ces deux versions dans la RFC 8996 (2021), poussant ainsi l'écosystème à adopter TLS 1.2 et la version plus sécurisée TLS 1.3.

Quel port le protocole TLS utilise-t-il ?

Le protocole TLS n'est pas lié à un port spécifique ; le port dépend du protocole d'application qui s'appuie sur lui. Le protocole HTTPS utilise généralement le port 443, et les passerelles d'accès sécurisées d'Versa utilisent la même valeur par défaut, bien que les administrateurs puissent configurer une autre valeur.

En savoir plus sur le protocole TLS

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au protocole TLS, voici quelques liens qui pourraient vous intéresser.