# Comment fonctionne une négociation TLS ?

En TLS 1.3, il faut un aller-retour avant que les données circulent. Le client envoie un ClientHello listant les versions de TLS, suites de chiffrement et groupes d'échange de clés qu'il prend en charge, une part de clé pour son groupe préféré et en général le nom du serveur qu'il veut joindre (SNI). Le serveur répond par un ServerHello qui choisit version, chiffrement et groupe, avec sa propre part de clé. À partir des deux parts, les deux côtés dérivent le même secret, et dès cet instant tout est chiffré, y compris le certificat du serveur et la preuve qu'il détient la clé privée correspondante. Le client vérifie le certificat auprès des autorités qu'il reconnaît, et les données applicatives commencent. Le ClientHello et le ServerHello circulent en clair : c'est pourquoi un capteur passif voit la version de TLS, le groupe d'échange de clés choisi, par exemple X25519 classique ou X25519MLKEM768 hybride, et une empreinte du client sans rien déchiffrer. Avec l'Encrypted Client Hello, une partie du ClientHello, dont le nom du serveur, est cachée aussi.

FAQ: [Chiffrement et trafic chiffré](https://netsenx.com/fr/faq/encryption) · https://netsenx.com/fr/faq/how-does-a-tls-handshake-work

## À lire ensuite

- https://netsenx.com/fr/encrypted-traffic-analysis
- https://netsenx.com/fr/what-is-ndr

## Questions liées

- [Qu'est-ce qui a changé entre TLS 1.2 et TLS 1.3 ?](https://netsenx.com/fr/faq/what-changed-between-tls-1-2-and-tls-1-3)
- [Faut-il désactiver TLS 1.0 et 1.1 ?](https://netsenx.com/fr/faq/should-we-disable-tls-1-0-and-1-1)
- [Quels chiffrements TLS faut-il désactiver ?](https://netsenx.com/fr/faq/which-tls-ciphers-should-we-turn-off)
- [Qu'est-ce que la confidentialité persistante (forward secrecy) ?](https://netsenx.com/fr/faq/what-is-forward-secrecy)
- [Qu'est-ce que le chiffrement, en termes simples ?](https://netsenx.com/fr/faq/what-is-encryption-in-plain-terms)