HTTP : Hypertext Transfer Protocol
Réseau
HTTP : Hypertext Transfer Protocol. « Protocole de transfert hypertexte », par analogie avec le guichet où l'on tend un formulaire et où l'on repart avec un document tamponné, ou un refus motivé.
Requête et réponse : Un client envoie une méthode (GET, POST, PUT…), une URL et des en-têtes ; le serveur répond par un code d'état, des en-têtes et un corps. Le protocole est sans état : chaque requête se présente comme une parfaite inconnue, ce qui explique l'invention des cookies, cette mémoire rapportée de force.
Versions : HTTP/1.1 fait circuler du texte sur TCP ; HTTP/2 passe en binaire et multiplexe plusieurs échanges sur une même connexion ; HTTP/3 s'appuie sur QUIC, donc sur UDP.
En clair par défaut : Sans TLS, tout circule lisiblement : mots de passe, cookies, contenu. HTTPS n'est rien d'autre que HTTP dans une enveloppe chiffrée, et c'est déjà beaucoup.
Socle du web et des API : Pages HTML, API REST, webhooks, sondes de santé : l'essentiel des échanges applicatifs modernes parle ce protocole, y compris ceux qui prétendent ne plus en avoir besoin.
Ce qui arrive si on s'en passe
Un service exposé en HTTP sans TLS laisse circuler lisiblement mots de passe, cookies de session et contenus : quiconque se trouve sur le chemin, du Wi-Fi public au routeur intermédiaire, les lit et peut les modifier, en injectant par exemple un script dans une page. Le cookie intercepté suffit à reprendre la session sans connaître le mot de passe. Le protocole étant sans état, c'est justement ce cookie qui porte l'identité de l'utilisateur, et le laisser voyager en clair revient à confier ses clés au premier passant en le priant de les rapporter. HTTPS n'est que HTTP sous enveloppe, mais c'est une enveloppe, et la carte postale a ses limites.
Explication de la marmotte
Quand on ouvre une page web, le navigateur écrit une petite demande au site : « donne-moi cette page, s'il te plaît ». Le site répond avec la page, ou avec un message d'erreur, comme le célèbre « page introuvable ». Ce protocole, c'est la langue commune de cet échange, un peu comme les règles de politesse d'un courrier : qui écrit, ce qu'on demande, ce qu'on renvoie. Tout le web repose dessus. Seul défaut : dans sa version de base, les lettres voyagent sans enveloppe, et n'importe qui sur le trajet peut les lire.
Où ce terme est utilisé
- QUIC, HTTP moderne, TLS et proxys applicatifs (36 occurrences)
- Comment prévenir une attaque Host header injection (10 occurrences)
- Sécuriser un load balancer cloud et la terminaison TLS (9 occurrences)
- Sécuriser la validation de domaine HTTP-01 et DNS-01 (8 occurrences)
- Suivre un flux de bout en bout (8 occurrences)
- Attaque de l'intercepteur par ARP, DHCP, DNS, Wi-Fi et proxy TLS (7 occurrences)
- Attributs du cookie de session (7 occurrences)
- Comment bloquer un webhook forgé sans signature vérifiée (7 occurrences)
- Attaque MIME sniffing par fichier téléversé (6 occurrences)
- Auditer la couverture réelle du mTLS service mesh (6 occurrences)