BOnjour,
 
Voici la petite question technique :
 
Si je fait un formulaire à l'adresse : http://www.monsite.com/form.php, qui demande login et mot de passe transmis par méthode post.  
 
Ce formulaire appelle la page : https://www.monsite.com/login.php
 
Le login et mdp de la premiere page passent-ils en clair sur mon réseau ?
 
Merci bcp.

Oui, la connection HTTPS doit être négociée sur la première page, dans le cas que tu présentes les données (login & mdp) transiteront en clair et non par une connection HTTPS puisque la dite connection HTTPS n'existe pas au moment où le formulaire est envoyé au serveur
voir plus bas

Alors là, je me serais fait avoir comme un bleu si j'avais eu à faire ça avant de lire ta réponse.

Merci Masklinn, je vais pouvoir faire chier le webmaster de la banque

Ben ça me semble logique, le mot de passe et le login font partie des informations contenues dans la requête pour afficher la page login.php
 
Donc le flux va être un truc du genre
 
 
Après je suis pas sûr à 100%, mais pas loin. Le plus simple serait de lancer un packet sniffer (Ethereal, ou même simplement LiveHTTPRequest, ça doit suffir) et de regarder ce qui transite aux différentes phases du login
 
 
voir plus bas

Un petit bemol tout de même.
Il est possible de créer un script qui envoi les informations login/mot de passe en https alors que la page de connexion est en http.
Vérifie le code source de la page. Si tu trouve qq chose de la forme :
<form method="post" action="https:// ....
 
 
C'est que c'est crypté ! (heureuse nouvelle non ?)
A+

Je demande une preuve que ce genre de trucs fonctionne justement, file une page d'exemple qu'on en fasse la trace

C'est ici  
http://www.rivesparis.banquepopula [...] /index.asp

Ok, après avoir passé 10mn à jouer avec Ethereal j'annonce que je me plantais et que tu as effectivement raison (comme quoi faut bel et bien toujours tester), toutes les communications avec le serveur vérifiant le numéro de compte et le MDP (wwws.prosodie.com) semblent bien passer par SSL, quand bien même la page d'origine n'est pas accédée via HTTPS

Heureusement pour les clients de la banque populaire ;-)

Haaaaaaa
 
Je me disais aussi ... ca aurait été assez grossier comme faille. Donc c'est bon, du moment qu'on appelle une page Https:// (via l'option action) les infos passent en crypté.
 
Merci m3z