Des tiers peuvent-ils lire l'URL complète lors d'une navigation via HTTPS?

Lorsque vous visitez un site Web en toute sécurité via https: //, les données échangées entre le serveur et votre navigateur sont cryptées, mais qu'en est-il des URL que vous consultez sur le site? Est-ce que votre FAI ou autre observateur tiers peut voir ce que vous regardez??

La séance de questions et réponses d'aujourd'hui nous est offerte par SuperUser, une sous-division de Stack Exchange, un groupe de sites Web de questions-réponses dirigé par la communauté..

La question

Un lecteur anonyme de superutilisateur veut savoir si ses sessions de navigation sont complètement sécurisées:

Nous savons tous que HTTPS crypte la connexion entre l’ordinateur et le serveur afin qu’elle ne puisse pas être visualisée par un tiers. Cependant, le FAI ou un tiers peut-il voir le lien exact de la page à laquelle l'utilisateur a accédé?

Par exemple, je visite:

https://www.website.com/data/abc.html

Le fournisseur de services Internet saura-t-il que j'ai accédé à * / data / abc.html ou simplement que j'ai visité l'adresse IP de www.website.com?

Si elles le savent, alors pourquoi Wikipedia et Google ont-ils le protocole HTTPS alors que quelqu'un peut simplement lire les journaux Internet et trouver le contenu exact visualisé par l'utilisateur??

Une question intéressante qui a certainement des implications pour la vie privée. Enquêtons.

La réponse

SuperUser contributor Grawity offre un aperçu très concis du traitement de l’URL complète au cours de son parcours:

De gauche à droite:

le schéma https: est, évidemment, interprété par le navigateur.

le nom de domaine www.website.com est résolu en une adresse IP utilisant DNS. Votre FAI va voir la requête DNS pour ce domaine et la réponse.

le chemin /data/abc.html est envoyé dans la requête HTTP. Si vous utilisez HTTPS, il sera crypté avec le reste de la requête HTTP et de la réponse.

le chaîne de requête ?ça = ça, s'il est présent dans l'URL, est envoyé dans la requête HTTP - avec le chemin. Donc, il est également crypté.

le fragment #Là, s'il est présent, n'est envoyé nulle part - il est interprété par le navigateur (parfois par JavaScript sur la page renvoyée).

En bref, tout ce qui se trouve à droite du nom de domaine est chiffré par la session HTTPS et reste invisible pour votre fournisseur de services Internet ou quiconque se jetant dans vos activités..

Avez-vous quelque chose à ajouter à l'explication? Sound off dans les commentaires. Voulez-vous lire plus de réponses d'autres utilisateurs de Stack Exchange doués en technologie? Découvrez le fil de discussion complet ici.