Très bon article, mais… j'ai quand même une petite objection. Même si la vulgarisation est loin d'être facile est oblige parfois à quelques approximations, il y a deux affirmations fausses que je trouve vraiment limites.

1. « Le nom de domaine est la partie la plus importante car elle vous dit sur quel site vous êtes. »
C'est complètement faux !
Il suffit d'ajouter la ligne "www.fbi.gov 216.58.208.227" dans son /etc/hosts et d'aller sur www.fbi.gov pour s'en convaincre (je ne peux pas tester de la machine sur laquelle je poste, mais si on dit à son navigateur d'accepter le certificat qui pose problème, on doit se retrouver sur google avec www.fbi.gov dans la barre d'adresse. C'est encore plus bluffant avec des sites sur lesquels on peut se connecter en HTTP sans s puisque le navigateur n'affichera aucun avertissement).

2. « Notez que le protocole HTTPS assure simplement le chiffrement des communications : il ne garantit pas du tout que le site visité est digne de confiance ! »
Il faudrait définir « digne de confiance » (j'ai bien vu que ça parlait de facebook dans la suite ;) ) mais il y a authentification sur un site en HTTPS : le certificat émis par le site est vérifié par le navigateur. Et donc contrairement à 1., si je suis sur https://www.fbi.gov/ est que le petit cadenas est vert, je sais que je suis bien sur www.fbi.gov.

Bon je ne dis pas qu'il n'y a pas d'attaques possibles sur HTTPS ou que modifier un fichier hosts à distance ou corrompre un serveur DNS est simple, mais je pense que c'est dangereux de dire qu'https ne garantit pas que le site est digne de confiance et pour être sûr d'être sur le bon site il suffit de regarder sa barre d'adresse, surtout dans une introduction pour novices.