Vrai ou faux, en justifiant

« Une requête POST est chiffrée » : FAUX. POST place les paramètres dans le corps de la requête au lieu de l'URL. Sur le réseau, ils circulent tout aussi lisiblement. Seul HTTPS chiffre — et il chiffre aussi bien un GET qu'un POST.

« HTTPS empêche le site de revendre mes données » : FAUX. HTTPS protège le transport entre votre navigateur et le serveur : personne ne lit ni ne modifie au passage. Ce que le site fait ensuite des données qu'il a reçues ne le concerne en rien. Le cadenas dit « personne d'autre n'écoute », pas « ce site est honnête ».

« Une URL en GET peut être mise en favori » : VRAI. C'est même l'argument principal en faveur de GET pour une recherche ou un filtre : toute l'information est dans l'adresse, donc l'adresse suffit à retrouver le résultat.

« Le cadenas garantit que le site est fiable » : FAUX. Le certificat atteste que le serveur est bien celui qui répond pour ce nom de domaine. Un site frauduleux obtient un certificat pour son propre nom en quelques minutes et gratuitement : il affiche donc un cadenas parfaitement valide. La vigilance porte sur le nom affiché dans la barre d'adresse, pas sur le cadenas.

Le point commun des trois « faux » : tous consistent à attribuer à un mécanisme une protection qu'il n'offre pas. POST cache de l'adresse, HTTPS chiffre le transport, le certificat identifie un nom de domaine. Chacun fait une chose, et une seule.