L’adoption du HTTPS a *doublé* cette année

Bien qu’il existe depuis plus de 20 ans, le HTTPS est toujours resté très peu adopté — jusqu’à maintenant. Les données de 2 sources indépendantes montrent que son adoption a plus que doublé au cours de l’année écoulée, une hausse massive et sans précédent de l’adoption de cette mesure de sécurité.

Les statistiques de BuiltWith suggèrent que l’adoption du HTTPS a plus que triplé, passant de 2,9 % à 9,6 % en un an. Les données de HTTP Archive montrent une tendance similaire : le nombre de sites HTTPS a été multiplié par 2,3, passant de 5,5 % à 12,4 %. Il est important de tenir compte de la période : il a fallu moins d’un an pour sécuriser autant de sites qu’au cours des 20 années précédentes !

C’est une excellente nouvelle pour le Web, tant en raison des avantages du HTTPS que parce qu’il est rare de voir une mesure de sécurité gagner aussi visiblement en adoption. Cet article analyse les données, tente d’expliquer les facteurs à l’origine de cette hausse et propose des pistes pour s’inspirer du HTTPS afin de promouvoir d’autres pratiques de sécurité.

Statistiques de BuiltWith

Le moyen le plus simple de suivre l’adoption du HTTPS est BuiltWith, un portail qui présente l’adoption des technologies sur le Web. BuiltWith propose un rapport intitulé « SSL By Default », qui recense les sites Web redirigeant les visiteurs vers le HTTPS. Le graphique ci-dessous présente ces statistiques sur les deux dernières années pour les 1 million et 10 000 sites les plus populaires. L’image suivante montre l’adoption du HTTPS parmi les 1 million de sites les plus populaires, selon BuiltWith :

Ce graphique montre une croissance spectaculaire de l’adoption du HTTPS au cours de l’année écoulée. Parmi les 1 million de sites les plus populaires, la proportion de sites est passée d’environ 2,9 % en août dernier à 9,6 % aujourd’hui, soit une multiplication par plus de 3 en un an ! Parmi les 10 000 sites les plus populaires, l’adoption est passée de 6,3 % à 12,8 % sur la même période, soit plus du double.

Notez également que l’adoption du HTTPS est généralement plus importante parmi les sites les plus populaires. Cela signifie que la proportion de pages consultées en HTTPS est supérieure au nombre de sites qui l’ont activé, car un site de premier plan génère plus de trafic qu’un site moins populaire.

Ces statistiques sont plutôt stupéfiantes. Elles semblent même trop belles pour être vraies, impression renforcée par l’étrange baisse observée dans les rapports de BuiltWith le mois dernier. Pour vérifier ces chiffres, posons la même question à un ensemble de données totalement indépendant : HTTP Archive.

Statistiques de HTTP Archive

HTTP Archive, ou HA en abrégé, est une initiative lancée par Steve Souders pour suivre l’évolution des technologies utilisées sur les sites Web. Depuis près de 6 ans, le service analyse un nombre croissant de sites Web deux fois par mois et enregistre leurs métriques de chargement de page. HA analyse actuellement les 500 000 sites les plus populaires à chaque collecte.

Les données de HA peuvent être interrogées avec BigQuery (merci à Ilya Grigorik), ce qui nous permet d’extraire chaque mois la liste des sites qui redirigent vers le HTTPS. Le graphique ci-dessous indique le pourcentage de sites qui redirigent vers le HTTPS parmi les 500 000 sites les plus populaires. L’image suivante montre la croissance rapide du nombre de sites HTTPS (statistiques de HTTP Archive) :

Comme vous pouvez le constater, la proportion de sites HTTPS a plus que doublé au cours de l’année écoulée, passant de 5,5 % à la mi-2015 à 12,4 % un an plus tard, soit une multiplication par 2,3. Cette hausse est légèrement inférieure aux chiffres de BuiltWith, mais reste tout simplement remarquable.

Note technique : HA est passé d’IE à Chrome en mars, ce qui a eu un impact marginal sur les chiffres et pourrait expliquer la légère baisse de l’adoption ce mois-là.

Comment expliquer cette évolution ?

Lorsqu’un incident survient, une bonne pratique consiste à organiser une analyse rétrospective (sans chercher de coupable !) pour comprendre ce qui s’est passé et comment éviter que cela se reproduise. Ici, nous aurions tout intérêt à faire de même pour comprendre pourquoi cette hausse positive se produit, et pourquoi maintenant.

Répondre à ces questions peut nous aider à maintenir cette dynamique et à appliquer ces enseignements à d’autres domaines où nous cherchons à renforcer la sécurité. Voici quelques-uns des principaux facteurs qui, selon moi, ont contribué à ce changement.

Des coûts réduits

Historiquement, passer au HTTPS a toujours été une initiative coûteuse. Il fallait acheter des certificats, payer davantage pour l’hébergement, payer davantage pour le CDN… Tous ces coûts s’accumulent, et seules les entreprises qui avaient vraiment besoin du HTTPS ou le souhaitaient se lançaient.

Aujourd’hui, vous pouvez obtenir un certificat gratuit auprès de Let’s Encrypt. La prise en charge de SSL/TLS est incluse dans de nombreux CDN (avec Cloudflare en tête), et des plateformes comme WordPress et GitHub Pages activent le HTTPS par défaut, sans frais supplémentaires.

La baisse des coûts s’explique en partie par la demande croissante et en partie par la diminution des coûts pour les fournisseurs de plateformes eux-mêmes. Dans tous les cas, quand passer au HTTPS coûte moins cher, il est plus facile pour les personnes qui défendent cette initiative de la faire aboutir.

De meilleurs outils et ressources

Ces nouveaux outils rendent le passage au HTTPS non seulement moins coûteux, mais aussi plus simple.

Let’s Encrypt facilite la génération automatique de certificats, permettant aux plateformes d’en créer pour leurs utilisateurs et aux équipes d’exploitation d’en générer un pour chaque microservice. SSLTest et le panneau de sécurité de Chrome vérifient que la configuration est correcte. IsTlsFastYet explique comment accélérer le HTTPS et répertorie les plateformes qui prennent en charge chaque fonctionnalité.

De meilleurs outils sont essentiels pour réduire encore les coûts, car les ressources humaines représentent souvent la dépense la plus importante d’un projet informatique. Si l’effort et les coûts sont suffisamment faibles, un ingénieur motivé peut « simplement le faire » et activer le HTTPS sans avoir à le planifier ni à le prioriser.

Des incitations plus convaincantes

La sécurité, y compris le HTTPS, vise à réduire les risques, lesquels sont malheureusement invisibles. Trop souvent, il est difficile de justifier ne serait-ce qu’une journée de travail si l’on ne peut pas montrer de résultat concret. Il est beaucoup plus facile de promouvoir un changement qui permet d’ajouter une fonctionnalité ou d’obtenir un gain visible.

Pour le HTTPS, nous avons accumulé un certain nombre d’incitations qui facilitent l’avancement des projets. De nouvelles normes Web comme HTTP2, Geolocation et ServiceWorker ne sont accessibles qu’en HTTPS, ce qui en fait un prérequis pour certaines fonctionnalités. Google classe mieux les sites HTTPS que leurs équivalents HTTP, et les plateformes mobiles exigent par défaut le HTTPS pour les API des applications natives.

Dans certains cas, ces incitations poussent les entreprises qui ne sont pas vraiment convaincues par la sécurité à passer au HTTPS. Dans d’autres, elles fournissent aux personnes qui défendent cette initiative les arguments nécessaires pour obtenir les approbations requises.

Effet de réseau

Enfin, le Web reste un réseau, et les actions d’un site ont des répercussions sur les autres. Chaque fois qu’un site passe au HTTPS (et peut-être même en parle), ses concurrents sont plus susceptibles de faire de même. Un site qui passe au HTTPS doit aussi s’assurer que ses balises tierces sont compatibles, ce qui facilitera la transition de son prochain client. Et lorsque suffisamment de sites d’une communauté utilisent le HTTPS, les autres ressentent une pression sociale qui les incite à se mettre à niveau.

Je pense que ce dernier facteur explique l’accélération de l’adoption du HTTPS. Il est difficile d’enclencher l’effet de réseau, mais une fois lancé, il s’accélère naturellement.

En résumé

Tout d’abord, c’est le moment de se réjouir.

Nombre d’entre nous défendent depuis longtemps la sécurité sur le Web en général et l’utilisation du HTTPS en particulier. Ces données prouvent que nos efforts portent leurs fruits. Si vous militez pour le HTTPS, c’est le moment de faire une petite danse de la joie !

Si vous n’êtes pas encore passé au HTTPS, c’est le moment de vous y mettre. Pour une liste plus détaillée des raisons de le faire, consultez mon article de blog de l’été dernier.

Au-delà du HTTPS, nous devrions appliquer les mêmes méthodes ailleurs. Comment réduire les coûts et simplifier la mise en œuvre d’autres objectifs de sécurité ? Quelles incitations pouvons-nous proposer en complément des mesures dissuasives ? Et une fois la dynamique lancée, comment l’accélérer grâce à l’effet de réseau ?

Chez Snyk, nous essayons d’appliquer ces enseignements pour renforcer la sécurité de l’open source, et nous aimerions les voir se diffuser dans tout le secteur de la sécurité.