HTTPS rend-il un site conforme au RGPD ?

Non. HTTPS est une protection importante au niveau du transport, tandis que la sécurité exigée par le RGPD s'apprécie en fonction du risque et couvre un ensemble bien plus large de mesures techniques et organisationnelles.

Qu'est-ce qu'un contenu mixte ?

Il y a contenu mixte lorsqu'une page servie en HTTPS charge une sous-ressource via une connexion HTTP non sécurisée. Les navigateurs peuvent bloquer les contenus actifs, mais des requêtes non sécurisées peuvent encore porter atteinte à la confidentialité, à l'intégrité ou au bon fonctionnement.

Droit et conformité

TLS, HTTPS, contenus mixtes et sécurité des données d'un site

L'article 32 du RGPD impose aux responsables du traitement et aux sous-traitants de mettre en œuvre des mesures techniques et organisationnelles adaptées au risque, y compris des mesures assurant la confidentialité et l'intégrité. Il ne prescrit pas une configuration TLS unique et universelle pour tous les services.

Ce qu'observe AllyProof

La vérification de conformité consigne si la page examinée est servie en HTTPS et si une page HTTPS appelle des ressources via HTTP. Ce sont des signaux concrets, visibles depuis le navigateur. Elle n'effectue pas de test d'intrusion, ne valide pas chaque chaîne de certification et chaque suite cryptographique, n'inspecte pas le stockage côté serveur et ne certifie pas la conformité à l'article 32.

Revue et correction

redirigez le HTTP vers le HTTPS sans laisser de points d'entrée sensibles de côté ;
supprimez ou remplacez chaque URL de ressource non sécurisée ;
maintenez à jour les bibliothèques TLS et l'automatisation du renouvellement des certificats ;
utilisez des cookies sécurisés et les en-têtes de transport appropriés ;
testez les formulaires, les API, les téléchargements et les ressources tierces ;
documentez l'analyse de risque qui fonde les mesures retenues.

L'office fédéral allemand de la sécurité des systèmes d'information (BSI) publie des recommandations techniques TLS à jour. Ses configurations constituent des références techniques utiles, mais la mesure juridiquement requise pour une organisation donnée dépend toujours du risque et du contexte.

Sources officielles

Les observations relatives au transport ne couvrent qu'une partie étroite de la sécurité. Appuyez toute conclusion plus large sur une évaluation de sécurité proportionnée aux données et au risque.

Questions fréquentes

HTTPS rend-il un site conforme au RGPD ?: Non. HTTPS est une protection importante au niveau du transport, tandis que la sécurité exigée par le RGPD s'apprécie en fonction du risque et couvre un ensemble bien plus large de mesures techniques et organisationnelles.
Qu'est-ce qu'un contenu mixte ?: Il y a contenu mixte lorsqu'une page servie en HTTPS charge une sous-ressource via une connexion HTTP non sécurisée. Les navigateurs peuvent bloquer les contenus actifs, mais des requêtes non sécurisées peuvent encore porter atteinte à la confidentialité, à l'intégrité ou au bon fonctionnement.