La version TLS affichée dans les outils de développement correspond au protocole négocié pour une connexion précise, pas à la liste complète des versions acceptées par le navigateur ou le serveur. Cette distinction change radicalement la méthode de vérification selon l’objectif recherché.
Cipher suite et groupe d’échange de clés : ce que la version TLS seule ne dit pas
Nous observons encore trop souvent des audits qui se limitent à confirmer « TLS 1.2 » ou « TLS 1.3 » sans examiner le reste de la négociation. La version du protocole, le chiffrement symétrique (AES-GCM, ChaCha20-Poly1305) et le groupe d’échange de clés sont trois paramètres distincts.
A lire en complément : Quel langage est bon pour le développement Web ?
Afficher « TLS 1.3 » dans le panneau Sécurité de Chrome ne permet pas de conclure que la connexion utilise un échange post-quantique. Seul le groupe X25519MLKEM768 signale l’utilisation de l’échange hybride post-quantique documenté par PostQuantumSecurity.org.
Pour lire la cipher suite complète dans Chrome ou Edge, ouvrez les outils de développement (F12), onglet Security, puis cliquez sur le certificat ou la ligne « Connection ». Vous y trouverez trois informations :
A découvrir également : Quel est le langage de code le plus utilisé ?
- Le protocole négocié (TLS 1.2 ou TLS 1.3), qui confirme la version active sur cette connexion précise
- Le chiffrement symétrique utilisé (par exemple AES_128_GCM), qui protège les données en transit
- Le groupe d’échange de clés (X25519, P-256, ou le groupe hybride post-quantique), qui détermine la résistance de la négociation initiale
Un audit sérieux documente ces trois paramètres. Se contenter de la version revient à vérifier qu’une porte est fermée sans regarder le type de serrure.
Vérifier la version TLS dans Chrome, Firefox et Edge
Chrome et Edge (Chromium)
Ouvrez les DevTools avec F12, puis sélectionnez l’onglet Security. Le panneau principal affiche le protocole négocié pour la page active. La version affichée concerne uniquement la connexion en cours, pas les capacités globales du navigateur.
La prise en charge de l’échange hybride post-quantique varie selon la version du navigateur. Sur des builds récents de Chrome, le groupe X25519MLKEM768 peut apparaître dans les détails de connexion si le serveur le propose.
Firefox : about:config et outils réseau
Dans Firefox, tapez about:config dans la barre d’adresse. Recherchez la clé security.tls.version.max. Une valeur de 4 correspond à TLS 1.3, une valeur de 3 à TLS 1.2.
Cette méthode révèle la version maximale que Firefox accepte de négocier, pas celle effectivement utilisée sur un site donné. Pour cette information, ouvrez les outils de développement (F12), onglet Réseau, sélectionnez une requête HTTPS, puis consultez l’onglet Sécurité de cette requête.
Différence entre capacité du navigateur et protocole négocié
Nous recommandons de distinguer systématiquement ces deux niveaux. Un navigateur peut accepter TLS 1.2 et TLS 1.3, mais le serveur peut imposer TLS 1.2 si sa configuration l’exige. L’inverse est aussi vrai : les navigateurs récents refusent TLS 1.0 et TLS 1.1, même si le serveur les propose encore.
Un échec de connexion depuis un client moderne ne prouve donc pas qu’un serveur a désactivé les anciens protocoles. Le navigateur peut avoir rejeté la connexion avant que le serveur ne réponde.
Tester les versions TLS acceptées par un serveur distant
Les outils intégrés au navigateur ne montrent qu’un côté de la négociation. Pour connaître toutes les versions TLS qu’un serveur accepte, il faut un scanner externe.
SSL Labs (ssllabs.com) reste la référence pour un test complet. L’outil affiche chaque version de protocole supportée, les cipher suites acceptées, et attribue une note globale. Il détecte aussi les configurations dangereuses : support résiduel de TLS 1.0, cipher suites faibles, certificats mal chaînés.
Pour un test en ligne de commande, openssl s_client permet de forcer une version spécifique :
openssl s_client -connect exemple.com:443 -tls1_2
Si la connexion aboutit, le serveur accepte TLS 1.2. Si elle échoue, cette version est désactivée ou non supportée. Cette approche est la seule fiable pour vérifier les capacités réelles du serveur indépendamment du navigateur utilisé.
Désactivation de TLS 1.0 et TLS 1.1 dans Windows
Sur Windows, les paramètres TLS sont partagés entre Internet Explorer, Edge Legacy et certaines applications système. La configuration se trouve dans les Options Internet, onglet Avancé, section Sécurité.
Nous recommandons de vérifier que seules les cases Utiliser TLS 1.2 et Utiliser TLS 1.3 sont cochées. Les options TLS 1.0 et TLS 1.1 doivent rester décochées. Cette modification affecte aussi les appels HTTP réalisés par des applications .NET qui s’appuient sur les paramètres système.
Firefox gère ses propres paramètres TLS via about:config, indépendamment de Windows. Modifier les Options Internet n’a aucun effet sur Firefox. C’est un piège classique lors d’un durcissement de poste : l’administrateur coche les bonnes cases dans Windows et oublie de vérifier la configuration Firefox.
Protocole TLS et sécurité post-quantique : ce qui change en pratique
TLS 1.3 a simplifié la négociation en supprimant les cipher suites obsolètes et en imposant le forward secrecy. La couche suivante concerne la résistance aux futurs ordinateurs quantiques.
L’échange hybride post-quantique combine un algorithme classique (X25519) avec un algorithme résistant au quantique (ML-KEM). La prise en charge varie fortement selon les navigateurs et les versions : Chrome, Edge, Firefox, Android et Safari ne l’ont pas déployé au même rythme.
Vérifier la version TLS ne suffit plus pour évaluer le niveau de sécurité d’une connexion. Le groupe d’échange de clés devient le paramètre discriminant entre une connexion TLS 1.3 classique et une connexion TLS 1.3 avec protection post-quantique.
Pour les environnements sensibles, la procédure de vérification doit désormais inclure la version du protocole, la cipher suite complète et le groupe d’échange de clés. Les trois informations sont accessibles dans le panneau Security des DevTools de Chrome et Edge, ou dans l’onglet Sécurité d’une requête réseau sous Firefox.
