Résumé

  • En décembre 1994, Netscape présentait déjà SSL dans son Commerce Server ; un historique technique ultérieur indique que Navigator 1.0 prenait en charge SSL 2.0.
  • SSL 3.0 est devenu un Internet-Draft expiré en novembre 1996 ; la référence historique stable de l’IETF n’est arrivée qu’avec le RFC 6101, en 2011.

La première pièce n’est pas un texte normatif. En décembre 1994, Netscape annonçait Navigator 1.0 et sa gamme de serveurs Netsite. Le communiqué de l’époque décrivait le Commerce Server comme intégrant la technologie Secure Sockets Layer fondée sur celle de RSA Data Security, et présentait l’ensemble client-serveur comme adapté au commerce sur Internet. Il s’agit d’une déclaration de lancement de l’entreprise, pas d’un décompte indépendant des installations. Elle situe néanmoins SSL dans un produit commercial proposé au public avant que le dossier normatif ne fournisse une référence durable.

Un historique ultérieur du code de sécurité de Netscape apporte un détail de version absent du communiqué : Navigator 1.0 prenait en charge SSL 2.0, tandis que Navigator 2.0 ajoutait SSL 3.0. Le même récit explique que le code de sécurité fut adapté aux serveurs Netscape 2.0. Cette mémoire technique de première partie n’est pas un recensement des expéditions ; elle complète l’annonce datée sans s’y substituer.

Les documents de 1995 montrent le passage à une description technique publique. Une copie archivée présente « The SSL Protocol », de Kipp Hickman et Taher Elgamal, comme un Internet-Draft de juin 1995. Un brouillon de février conservé par Mozilla décrit SSL comme une couche indépendante du protocole applicatif : une négociation établit les paramètres cryptographiques et authentifie le serveur avant le flux des données applicatives. Ces textes décrivent un comportement implémentable. Leur statut de brouillon n’en faisait ni une norme Internet approuvée ni la garantie d’une interopérabilité générale.

Le cas de SSL 3.0 rend la différence particulièrement nette. L’IETF Datatracker répertorie draft-ietf-tls-ssl-version3-00 comme Internet-Draft expiré, mis à jour pour la dernière fois le 21 novembre 1996, sans statut RFC visé. Le document est daté du 18 novembre. En 2011, le RFC 6101 a publié cette version comme archive historique. Son avant-propos indique que SSL 3.0 était largement implémenté et servait de base à TLS, mais qu’il n’avait jamais été formellement publié par l’IETF autrement que dans des brouillons expirés. Le RFC visait une référence stable ; il ne transformait pas rétroactivement SSL 3.0 en norme de piste standard.

Cette chronologie ne signifie ni que SSL manquait de spécifications, ni que les organismes de normalisation étaient absents. Les sources répondent à des questions différentes. Un communiqué établit ce qu’une entreprise proposait ; un historique du code rapporte les fonctions d’une famille de clients ; un brouillon rend un protocole examinable et modifiable ; un RFC publié fournit un texte durablement citable et un statut explicite. Aucun de ces documents ne prouve à lui seul un déploiement universel ou un comportement identique.

Il faut donc éviter de réduire l’adoption à un seul événement. Une implémentation opérationnelle peut attirer des utilisateurs avant une spécification stable. Un brouillon peut favoriser l’interopérabilité sans la certifier. Un RFC historique ultérieur peut rendre un ancien protocole lisible sans en recommander la sécurité ni l’usage actuel. Pour SSL, le produit, le texte de travail et la citation durable ont suivi des calendriers différents.