Anatomie d’une URL

Une URL, c’est justement notre commande au serveur web. Uniform Resource Locator : elle désigne une ressource précise, sur un serveur précis, que l’on demande à consulter.

On dit aussi adresse web. C’est un format pratique pour mémoriser, ou pour partager à d’autres humains, l’emplacement d’une ressource, où qu’elle soit stockée sur la planète.

Elle est composée de trois parties.

1. Le protocole

Le protocole, c’est la manière dont un client et un serveur vont discuter. Ce n’est pas difficile à comprendre, c’est exactement la même chose qu’entre humains : comment dire bonjour ? comment rendre les salutations ? comment demander quelque chose ?

On utilise très largement https. Il en existe d’autres, qui ne vous serviront pas beaucoup.

Le s veut bien dire secure, mais attention : il ne dit pas que vous parlez à quelqu’un de confiance. On peut avoir une conversation parfaitement sécurisée avec un escroc.

Ce qu’il garantit, c’est le trajet. Quand vous demandez une ressource à un serveur américain, votre demande traverse peut-être la moitié de la planète et passe par des dizaines de machines qui ne vous appartiennent pas. Le s assure que personne, sur ce trajet, ne peut lire ni modifier ce qui s’échange.

Sans lui, c’est possible, et c’est arrivé.

En 2015, des chercheurs ont montré que la Chine détournait du trafic non chiffré passant par ses réseaux : les requêtes vers un script d’analyse d’audience très répandu se voyaient parfois répondre, à la place, un script malveillant qui transformait le visiteur en arme contre des sites de contournement de la censure. Le Citizen Lab de Toronto a appelé ça le « Grand Canon ».

Aux États-Unis, l’opérateur Verizon a inséré pendant près de deux ans un identifiant unique dans chaque requête non chiffrée de ses abonnés mobiles, à des fins de publicité ciblée, sans les prévenir. Le régulateur américain a fini par le sanctionner d’1,35 million de dollars en 2016.

Ces deux histoires ont un point commun : elles ne fonctionnaient que sur du trafic non chiffré. C’est exactement ce que le s empêche.

Mais le trajet ne fait pas tout. Une fois arrivées à destination, vos données sont lisibles par celui à qui vous les envoyez, et c’est bien le but. Il peut donc lire le numéro de carte bancaire que vous lui confiez, le conserver alors qu’il avait promis de ne pas le faire, et se faire voler sa base de données six mois plus tard. Le s de https ne protège de rien de tout cela.

2. Le nom de domaine

Le nom de domaine, c’est l’adresse du serveur à qui vous passez commande. C’est aussi la seule partie de l’URL que quelqu’un a payée : un nom de domaine s’achète, il ne s’invente pas.

Tout à droite se trouve l’extension. Quand elle fait deux lettres, c’est un pays : .fr, .be, .ru. Les plus anciennes annonçaient une intention : .com pour le commerce, .org pour les organisations. N’y croyez plus trop, n’importe qui peut en acheter une aujourd’hui. Depuis 2013, il en existe des centaines d’autres, parfois géographiques comme .paris, que gère la ville de Paris. Et certaines appartiennent à des entreprises : .app et .dev sont à Google, qui impose le chiffrement sur toute l’extension. Un site en .dev que l’on tenterait d’afficher sans https ne s’ouvrira tout simplement pas.

.tv n’a rien à voir avec la télévision : ce sont les deux lettres de Tuvalu, un archipel du Pacifique d’environ onze mille habitants. Tuvalu loue ses deux lettres au monde entier, et cela représente près d’un dixième des recettes de l’État. .me appartient de la même façon au Monténégro, qui le loue aux sites personnels du monde entier.

.io est le cas le plus amusant. Les deux lettres désignent le Territoire britannique de l’océan Indien, un archipel que le Royaume-Uni a accepté de rendre à l’île Maurice par un traité signé en 2025. Or une extension de pays vit et meurt avec le code du pays : si le territoire disparaît des listes officielles, les milliers de sites d’entreprises technologiques qui ont choisi .io pour son air de « input/output » devront déménager. Rien n’est encore décidé, et ces transitions prennent des années, mais l’idée qu’une adresse web dépende d’une frontière n’a rien d’intuitif, et ça donne à réfléchir.

Vient ensuite le nom acheté, puis, devant, autant de sous-domaines que le propriétaire le souhaite. Si on achète google.com, on peut ensuite créer soi-même et gratuitement maps.google.com. Un sous-domaine ne prouve donc rien.

C’est pourquoi un nom de domaine se lit de droite à gauche, en partant de l’extension.

• maps.google.com : une entreprise commerciale, qui s’appelle Google, et plus précisément son service Maps.
• fr.wikipedia.org : une organisation, qui s’appelle Wikipédia, et plus précisément sa version française.
• www.impots.gouv.fr : la France, son administration, les impôts, et leur site web.

Revenons sur l’adresse https://paypal.com.xwxwxx.ru/ et lisons-la de droite à gauche.

1. .ru, l’extension : nous sommes en Russie.
2. xwxwxx, le nom acheté là-bas par quelqu’un dont nous ne savons rien. C’est lui, le domaine.
3. paypal.com, un simple sous-domaine que ce propriétaire s’est créé lui-même, gratuitement, parce qu’il ressemble à quelque chose de rassurant.

Votre commande part donc chez lui. Votre mot de passe aussi, si vous le saisissez.

C’est tout le principe de l’hameçonnage, le phishing : l’adresse a l’air juste tant qu’on la lit de gauche à droite et qu’on s’arrête au premier mot connu. Le seul nom qui engage quelqu’un est celui qui touche l’extension, juste avant la première barre oblique.

3. L’adresse IP

Si l’URL est une adresse postale, « 143 grande rue », l’adresse IP est une localisation technique, un peu comme des coordonnées GPS : 45.7131612, 4.8027159.

Or, quand on indique à quelqu’un où l’on habite, on donne rarement ses coordonnées GPS. À l’oral c’est pénible, sur une carte de visite c’est illisible, et le jour du déménagement tout est à refaire.

C’est pareil sur le web. Un nom de domaine n’est qu’un alias vers une adresse IP, bien plus facile à retenir et à partager. Un annuaire mondial, le DNS, fait la traduction chaque fois que vous tapez une adresse, sans que vous ayez à y penser.

Et cet alias n’est pas qu’un confort : l’adresse IP d’un site peut changer du jour au lendemain, parce qu’il déménage de machine ou qu’il est servi depuis un autre pays, sans que son nom ni vos favoris n’en sachent rien.

4. Le chemin

Le chemin ressemble beaucoup à l’arborescence de dossiers de votre ordinateur, et il se lit de la même façon, de gauche à droite, du plus général au plus précis.

Deux choses à savoir tout de même.

Ce n’est pas forcément un fichier. On imagine volontiers un document posé quelque part sur un disque, mais la plupart du temps le chemin est une demande que le serveur interprète, et la page est fabriquée à l’instant à partir d’une base de données. Le chemin décrit ce que l’on veut, pas où c’est rangé.

Le chemin n’engage personne. Après la première barre oblique, le propriétaire du domaine écrit ce qu’il veut. xwxwxx.ru/paypal/connexion-securisee est parfaitement possible, et ne rend pas ce site plus sérieux d’un millimètre. C’est toujours le nom de domaine, et lui seul, qui dit à qui vous parlez.

5. Résumé

Comment découper une URL :

• Protocole : ce qu’il y a avant le ://
• Nom de domaine : ce qu’il y a après le protocole et avant le /
• Chemin : tout ce qui reste

Comment lire une URL :

J’ai demandé à NOM DE DOMAINE la ressource CHEMIN, en lui envoyant des messages de type PROTOCOLE.

Ici, j’ai demandé à xwxwxx.ru la ressource /valider/paiement, en lui envoyant des messages en https. Et je ne devrais certainement pas faire ça !