Attention à la sécurité des paiements...

La garantie de sécurité du paiement est mal assurée sur certains sites en ligne. Voir ci-dessous pourquoi. Un rappel sur les précautions a prendre dans les paiements en ligne.

Nota : Opodo en mars 2005 avait ce comportement. Le site a depuis corrigé la cinématique des paiements qui est devenue sécurisée. Merci donc pour les clients.

J’ai essayé de réserver un billet d’avion sur opodo (mars 2005), et quelle ne fut pas ma surprise de constater que sur la page ou il est demandé de saisir le numéro de carte bleue, il n’y a pas de cadenas et que celle -ci n’est pas en "https" dans son adresse.

Cela ne signifie pas que la suite de la transaction n’est pas sécurisée, car il est possible qu’en envoyant les informations on parte sur une connexion sécurisée, mais RIEN ne le garantit A PRIORI, et je ne le saurai qu’après avoir cliqué, ce qui peut être trop tard. En effet, la page que j’ai sous les yeux peut très bien être un faux qui m’est présentée par un système de falsification des noms de domaines par un pirate (il y a plusieurs genres d’attaques de ce type : spoofing d’adresse, corruption DNS, phishing, etc.).

Le mécanisme correct est d’entrer sur une page sécurisée (HTTPS) AVANT de taper un numéro de carte bleue. Un dialogue doit s’afficher qui avertit que l’on entre sur un site sécurisé, l’URL de la page doit commencer par HTTPS, et le cadenas doit être affiché. Si il n’y a pas d’avertissement particulier sur la validité du certificat de chiffrement, toutes ces conditions étant réunies, alors seulement on peut entrer le numéro de carte bleue.

J’ai donc abandonné la transaction et suis allé voir voyages-sncf.com. Là tout s’est déroulé normalement avec garantie de sécurité. Qui plus est le site a vérifié si il restait des places disponibles sur le vol, ce que opodo ne faisait pas, en me proposant des places sur un vol complet !!

A savoir...

Nota : cette remarque de sécurité est valable pour tous les sites où on entre un mot de passe donnant accès à des informations confidentielles. Certaines banques ne le respectent pas et risquent les attaques mentionnées ci-dessus. Si vous le constatez, protestez auprès de votre banque. Les fournisseurs d’accès Internet n’ont quand à eux AUCUNE sécurité sur les accès aux différents Webmail, a part google mail. Or nous recevons de plus en plus de couriers administratifs et contenant quelquefois des informations de sécurité (login, password).