Les données incluses dans une URL peuvent-elles être considérées comme sûres si la connexion est effectuée via HTTPS ? Par exemple, si un utilisateur clique sur un lien dans un courrier électronique qui pointe vers https://mysite.com?mysecretstring=1234 Serait-il possible pour un attaquant d'extraire "mysecretstring" de l'URL ?
Réponses
Trop de publicités?
L'intégralité de la requête HTTP (et de la réponse) est cryptée, y compris l'URL.
Mais oui, il existe un moyen pour un pirate de s'emparer de l'URL complète : par le biais de l'en-tête Referer. S'il existe un fichier externe (Javscript, CSS, etc.) qui n'est pas en HTTPS, l'URL complète peut être récupérée dans l'en-tête Referer. Il en va de même si l'utilisateur clique sur un lien dans la page qui mène à une page HTTP (sans SSL).
De plus, les requêtes DNS ne sont pas cryptées, de sorte qu'un pirate pourrait savoir que l'utilisateur se rend sur mysite.com.
Chris
Points
141
Andrea Raimondi
Points
339
Utilisateur non enregistré
Points
0
cbeuker
Points
685
