Nah, franchement ?

Mme michu ne met pas https quand elle va visiter un site web.

En temps normal : C'est la redirection mis sur ton site qui va forcer le https

Je vais maintenant imaginer une histoire tordue pour expliquer. Si l'opérateur XXXXXX au lieu de rediriger k-net.fr vers la bonne IP, redirige vers un site identique avec des prix 20€/mois plus cher, histoire de décourager les personnes de s'abonner à K-Net.

=> Sans HTTP Strict Transport Security, même michu, qui n'a pas mis https, verra les fausses offres proposées par XXXXXX.

=> Avec HTTP Strict Transport Security, si elle a déjà été visiter le site K-Net dans le passé, elle sera redirigé en https qui va afficher une alerte de sécurité qui va l'encourager à appeler K-Net plutôt que de regarder son site. Si elle n'a jamais visité le site, elle sera en http donc sans alerte.

=> Avec la liste pré-enregistrée dans Firefox de sites HTTP STS, même si Mme michu n'a pas été visiter le site K-Net, elle sera forcée en https.


Dans le cas de man in the middle, si 20% des personnes vont sur un site sans mettre https, tu peux facilement les berner.

Quand/si les navigateurs utiliseront HTTPS par défaut ca ira mieux non ?

Quand une grande majorité de sites seront 100 % en HTTPS tu veux dire?

On risque d'attendre encore une peu.

Même des banques n'y sont pas!

La liste de Google Chrome contient plus de 2200 noms de domaine :

https://code.google.com/p/chromium/codesearch#chromium/src/net/http/transport_security_state_static.json&l=180

(J'imagine que Twitter y est)

    { "name": "twitter.com", "mode": "force-https", "pins": "twitterCom" },
    { "name": "www.twitter.com", "include_subdomains": true, "mode": "force-https", "pins": "twitterCom" },
    { "name": "api.twitter.com", "include_subdomains": true, "pins": "twitterCDN" },
    { "name": "oauth.twitter.com", "include_subdomains": true, "pins": "twitterCom" },
    { "name": "mobile.twitter.com", "include_subdomains": true, "pins": "twitterCom" },
    { "name": "dev.twitter.com", "include_subdomains": true, "pins": "twitterCom" },
    { "name": "business.twitter.com", "include_subdomains": true, "pins": "twitterCom" },
    { "name": "platform.twitter.com", "include_subdomains": true, "pins": "twitterCDN" },
    { "name": "twimg.com", "include_subdomains": true, "pins": "twitterCDN" },
 

Les listes de Google sont traité spécifiquement des chrome (avec information remontée si l'autorité de certification du site n'est pas la bonne)

Il faudrait tester avec d'autres sites comme twitter, pour voir si c'est lié à la liste de sites HTTP Strict Transport Security codé dans le navigateur. (J'imagine que Twitter y est)

oui saisir "twitter.com" amène directement a https://twitter.com/ sans passer par la redirection.