TS37Performance et déploiement

HTTPS fonctionne-t-il sur toute la chaîne ?

HTTPS, HSTS et les ressources intégrées ne créent ni erreur de certificat ni contenu mixte.

Préparer les preuves

Dans l’app: Import de preuves
À fournir: Certificats, réponses et ressources
À prévoir: Selon les preuves à réunir

Préparer les preuves

Comprendre

Une connexion HTTPS. Jusqu’aux ressources.

HTTPS, HSTS et les ressources intégrées ne créent ni erreur de certificat ni contenu mixte.

Critère du protocole TSEP

TSEP examine la chaîne HTTPS dans le périmètre déclaré. Le résultat ne remplace pas un audit général de sécurité ni une revue des droits d’accès.

Les règles et limites de ce contrôle sont détaillées en bas de fiche.

Vérifier

Du certificat. Jusqu’aux ressources.

Dans TSEP Control

Vous importez les preuves du contrôle. Le moteur les évalue dans le périmètre déclaré ; les pièces manquantes restent visibles.

Votre contribution

Définissez le périmètre et les attentes avant la collecte. Réunissez les pièces ci-dessous et apportez les revues demandées.

Avec vos outils

Contrôlez le certificat et la chaîne de confiance avec le navigateur, puis inspectez les redirections et ressources HTTP. Relevez HSTS et sa portée avant de modifier les sous-domaines concernés.

Les preuves à conserver

Certificats et chaînes HTTP archivés, ressources mixtes examinées, décision HSTS explicite et portée documentée.

Ce que ce résultat couvre

HSTS renforce le transport après réception de la politique ; il ne corrige ni un certificat invalide ni une mauvaise architecture d’URL.

Agir

Réparer la chaîne. Vérifier sa portée.

Corrigez les erreurs de certificat et le contenu mixte ; examinez la portée HSTS avant modification.

Recontrôler

Les mêmes hôtes. Les mêmes ressources.

Après correction, réunissez de nouvelles preuves avec le même périmètre et les mêmes attentes. Conservez les deux observations datées pour comparer ce qui a changé.

Les repères du contrôle

Pour aller plus loin.

Les statuts, les sources et la méthode.

Comprendre les statutsC · NC · NT · NA

La même légende dans les fiches, l’analyse et la démo. Chaque statut dépend des preuves et des règles du contrôle.

C · Vérifié: Le critère est satisfait dans le périmètre évalué. Conservez la preuve datée pour la prochaine comparaison.
NC · À corriger: Corrigez les erreurs de certificat et le contenu mixte ; examinez la portée HSTS avant modification.
NT · Non établi: Les preuves ou les confirmations ne suffisent pas pour conclure. Complétez ce qui manque ; ce statut ne démontre pas une erreur SEO.
NA · Non applicable: Le contrôle ne s’applique pas au périmètre, selon ses règles et une justification conservée. Une absence de preuve ne suffit pas à le déclarer non applicable.

Sources et références1 référence

RFC 6797 — HTTP Strict Transport Securitywww.rfc-editor.org · nouvel onglet

Méthode et règles détaillées3 règles

Méthode et critères du contrôle

Méthode
Tester le certificat sur les hôtes publics, suivre les variantes HTTP/HTTPS, relever Strict-Transport-Security et rechercher les sous-ressources en HTTP.

Critères attendus
Certificats et redirections sont valides pour les hôtes testés ; contenu mixte examiné ; décision HSTS et sa portée documentées, sans imposer le preload.

Non-applicabilité
Aucun service HTTP public concerné.

Règles détaillées

TS37-A01 · Certificats, hôte, date et confiance fournie

Mode prévu par le protocole : assisté, avec preuves et déclarations fournies. La disponibilité dans l’app est indiquée sur la fiche du contrôle.

Périmètre
Population finie préalable de TS37, profil render-transport-v1 ; voir docs/render-transport-evidence.md.

Preuves
Originaux exacts, plan et dates/contexte, empreintes, diagnostics et revue motivée liée au dossier entier. Types : tls, intent.

Méthode
Relire les PEM publics fournis avec OpenSSL3 hors réseau : chaîne, usage serveur, hôte DNS, heure fournie et racines explicitement fournies. Désactiver magasins implicites ; conserver version et diagnostic.

Critères attendus
La vérification du profil réussit sous les racines fournies. Une erreur X509 prise en charge, dont expiration ou mauvais hôte, échoue.

Quand le résultat reste indéterminé
OpenSSL3 absent, PEM inutilisable, capture mal attribuée, racines absentes ou code d’erreur non qualifié : NT.

Non-applicabilité
Pas de NA atomique. Population vide ou domaine prétendu absent sans preuve reste NT dans ce profil.

Hypothèses
Provenance, inventaire, état navigateur, conditions et jugement fournis, non authentifiés ; deux lectures HTML statiques ne sont pas deux navigations. La confiance TLS dépend des racines fournies.

Limites
Aucun audit réel déduit des cas synthétiques. Ni indexation, classement, conformité globale, certification d’accessibilité, sécurité exhaustive ou confiance universelle des navigateurs. La revue peut être erronée ; les captures peuvent omettre des états.

TS37-A02 · Redirections HTTPS et décision HSTS

Mode prévu par le protocole : assisté, avec preuves et déclarations fournies. La disponibilité dans l’app est indiquée sur la fiche du contrôle.

Périmètre
Population finie préalable de TS37, profil render-transport-v1 ; voir docs/render-transport-evidence.md.

Preuves
Originaux exacts, plan et dates/contexte, empreintes, diagnostics et revue motivée liée au dossier entier. Types : http, configuration, intent.

Méthode
Suivre la chaîne HTTP fournie vers HTTPS sans rétrogradation, vérifier la réponse directe200, comparer configuration HSTS et en-tête au plan : activation, max-age, sous-domaines, portée, propriétaire, motif.

Critères attendus
Chaînes et décision HSTS concordent ; HSTS peut être désactivé explicitement. Aucun preload imposé.

Quand le résultat reste indéterminé
Chaîne/configuration manquante, en-tête ambigu, portée ou décision absente : NT.

Non-applicabilité
Pas de NA atomique. Population vide ou domaine prétendu absent sans preuve reste NT dans ce profil.

TS37-A03 · Sous-ressources et trafic mixte du périmètre

Mode prévu par le protocole : assisté, avec preuves et déclarations fournies. La disponibilité dans l’app est indiquée sur la fiche du contrôle.

Périmètre
Population finie préalable de TS37, profil render-transport-v1 ; voir docs/render-transport-evidence.md. Amendement: docs/render-transport-prerequisites-v2.md.

Preuves
Originaux exacts, plan et dates/contexte, empreintes, diagnostics et revue motivée liée au dossier entier. Types : http, render, intent.

Méthode
Relier HAR et console au document HTTPS ; examiner les requêtes observées et les URL intégrées de la source. Le profil strict exige HTTPS pour ces ressources, même si un navigateur peut les mettre à niveau. Avec base href non qualifiée, une URL relative reste NT ; examiner indépendamment les URL absolues malgré CSS/srcset ou un autre schéma inconnu.

Critères attendus
Aucune URL HTTP observée sur ces surfaces ; revue de la couverture dynamique consignée. Un HTTP natif observé échoue malgré une autre lacune.

Quand le résultat reste indéterminé
HAR tronqué, corps absent, CSS/srcset non qualifiés, contexte incomplet ou revue absente : NT. Résolution relative avec base href non qualifiée : NT ; une contradiction HTTP indépendante reste NC.

Non-applicabilité
Pas de NA atomique. Population vide ou domaine prétendu absent sans preuve reste NT dans ce profil.

Version des règles 0.3.0-draft.5 · Fiche du protocole public · Source versionnée

Passer à la pratique

← Retour aux contrôles