Filtrage web et interception TLS : les arbitrages qu’on ne peut pas éviter

Presque tout le trafic sortant est chiffré. Un filtrage qui ne regarde que les noms de domaine voit donc peu de choses. Pour voir davantage, il faut déchiffrer — et là commencent les arbitrages.

Ce que le filtrage sans déchiffrement permet

Il reste plus utile qu’on ne le croit. Le nom de domaine demandé, la résolution DNS et la réputation de la destination suffisent à bloquer une part importante des connexions malveillantes.

La journalisation DNS est particulièrement rentable : volume faible, et elle subsiste quand le contenu est chiffré. Une requête vers un domaine créé la veille est un signal fort sans avoir rien déchiffré.

Sa limite : un canal établi vers un service légitime — hébergement de fichiers, plateforme collaborative — est indistinguable d’un usage normal. C’est exactement ce qu’utilisent les phases d’exfiltration.

Ce que l’interception apporte

Le déchiffrement permet l’analyse du contenu : détection de code malveillant dans les téléchargements, repérage de transferts de données anormaux, application de règles de prévention des fuites.

C’est aussi ce qui permet de traiter la mesure 8.23 d’ISO/IEC 27002:2022 — filtrage web — au-delà d’un simple blocage par catégorie.

Ce que l’interception coûte

Juridiquement

Déchiffrer les flux d’un salarié touche à sa vie privée. En France, la jurisprudence protège la correspondance privée sur le lieu de travail, et le RGPD impose proportionnalité, information et minimisation.

Les conditions habituelles : information préalable claire, inscription au registre des traitements, consultation des instances représentatives, exclusion explicite des catégories sensibles — santé, banque, syndicats, messageries personnelles.

Une interception généralisée et non annoncée expose à un contentieux prud’homal et à un risque de sanction.

Techniquement

L’interception casse des mécanismes de sécurité. L’épinglage de certificats, utilisé par de nombreuses applications, échoue ; certains services deviennent inutilisables ; l’authentification par certificat client ne passe plus.

Il faut donc maintenir une liste d’exceptions, qui grandit avec le temps. Chaque exception est un trou dans le dispositif, et personne ne les réexamine.

Opérationnellement

Le point d’interception voit tout en clair. Il concentre un risque considérable : sa compromission donne accès à l’ensemble des flux. Il doit être protégé comme un système d’administration — voir le cloisonnement par niveaux.

Où placer la limite

Une approche proportionnée qui fonctionne :

1. Pas d’interception par défaut. Filtrage par domaine et réputation pour l’ensemble du parc.
2. Interception ciblée sur les populations ou les systèmes à enjeu : serveurs, comptes à privilèges, environnements traitant des données sensibles.
3. Exclusion permanente des catégories relevant de la vie privée, techniquement appliquée et documentée.
4. Revue périodique des exceptions, avec retrait effectif de celles devenues inutiles.

Cette gradation est aussi ce qui rend le dispositif défendable devant les instances représentatives et devant l’autorité de contrôle.

L’alternative à considérer

Sur les postes, une protection locale voit le contenu avant chiffrement et après déchiffrement, sans casser le canal ni poser les mêmes questions juridiques.

Ce n’est pas équivalent — on perd la vision réseau centralisée — mais dans beaucoup d’organisations c’est un meilleur rapport bénéfice-risque que l’interception généralisée.

Les questions à trancher avant de déployer

• Quelles catégories sont exclues du déchiffrement, et comment le prouve-t-on ?
• Qui a accès aux flux déchiffrés, et cet accès est-il tracé ?
• Combien de temps les contenus sont-ils conservés ?
• Les salariés ont-ils été informés, et les instances consultées ?
• Qui réexamine les exceptions, et à quelle fréquence ?

Sources

• ISO/IEC 27002:2022, mesure 8.23 — filtrage web
• CNIL — contrôle de l’activité des salariés et proportionnalité
• Règlement (UE) 2016/679 (RGPD), articles 5 et 32
• ANSSI — recommandations sur l’interception TLS

Aller plus loin

Ces arbitrages relèvent de nos missions de sécurité réseau, avec le volet juridique traité en gouvernance et conformité.