Certificat SSL et HTTPS : comprendre et sécuriser son site
Un certificat SSL relie un nom de domaine à une clé de chiffrement vérifiée par une autorité tierce. Il rend possible le HTTPS, qui chiffre tout ce qui circule entre le navigateur et le serveur. Sans lui, les formulaires voyagent en clair et les navigateurs affichent un avertissement à chaque visite.
SSL, TLS, HTTPS : trois mots pour trois choses
Le vocabulaire courant mélange trois objets distincts, et cette confusion explique une bonne part des questions posées aux hébergeurs.
Le certificat est un fichier. Il contient un nom de domaine, une clé publique, une date de début, une date de fin, et la signature de l’autorité qui l’a émis. Rien de plus.
Le protocole, lui, s’appelle TLS. SSL désigne son ancêtre, abandonné depuis longtemps pour cause de failles connues, mais le nom est resté dans le commerce, sur les factures et dans les interfaces d’hébergement. Personne ne vend un « certificat TLS », tout le monde vend un « certificat SSL », et il s’agit du même fichier.
Le HTTPS, enfin, est le protocole web classique transporté à l’intérieur d’un tunnel TLS. Le cadenas affiché par le navigateur signale que ce tunnel a été établi et que le certificat présenté correspond bien au domaine demandé. Rien d’autre.
Deux versions du protocole restent recommandées : TLS 1.2 et TLS 1.3, cette dernière ayant été publiée par l’IETF sous la référence RFC 8446 en août 2018. Le guide « Recommandations de sécurité relatives à TLS » de l’ANSSI écarte les versions antérieures, désormais considérées comme dépassées. La CNIL, de son côté, recommande de rendre le protocole obligatoire sur toutes les pages d’un site, pas uniquement sur celles qui portent un formulaire. Un hébergement récent propose ces deux versions par défaut, sans réglage particulier.
Ce que le chiffrement protège, et ce qu’il laisse passer
Trois garanties, pas une de plus : la confidentialité des échanges, leur intégrité, et l’authentification du serveur auprès du visiteur.
Concrètement, un mot de passe saisi sur une page en HTTPS traverse le réseau sous forme illisible. Sur une page en HTTP, ce même mot de passe circule en clair, à la portée de n’importe quel équipement situé sur le trajet : un point d’accès public mal configuré, un routeur compromis, un intermédiaire indélicat.
Le malentendu commence juste après. Un certificat valide ne dit rien de l’honnêteté du site, ni de la qualité de son code. Un site de hameçonnage obtient son certificat en quelques minutes, exactement comme une boutique légitime, et affiche le même cadenas. La vérification porte sur le contrôle du domaine, jamais sur les intentions de celui qui le contrôle.
Trois choses restent hors de portée du chiffrement :
- le contenu stocké sur le serveur, exposé dès qu’un gestionnaire de contenu ou une extension présente une faille
- les comptes d’administration, qui se défendent par des identifiants uniques et une double authentification
- le nom du domaine visité, encore visible dans une bonne partie des configurations réseau
Ce périmètre limité replace HTTPS à sa juste place : une brique de base, pas une politique de sécurité. Les briques suivantes sont décrites dans notre article sur les fondamentaux de la cybersécurité en entreprise, et la protection des accès d’administration commence par le choix d’un gestionnaire de mots de passe.
Les niveaux de validation, et pourquoi ils comptent moins qu’avant
Toutes les autorités de certification proposent trois niveaux de contrôle avant d’émettre un certificat. Le prix suit ces niveaux, la qualité du chiffrement non.
| Niveau | Ce qui est vérifié | Délai courant | Public visé |
|---|---|---|---|
| Validation de domaine | contrôle technique du domaine seul | quelques minutes | blogs, sites vitrines, tout site sans transaction |
| Validation d’organisation | existence légale de l’entreprise | un à trois jours ouvrés | sites d’entreprise, espaces clients |
| Validation étendue | identité juridique vérifiée en profondeur | plusieurs jours | banques, assurances, grands comptes |
Le premier niveau, la validation de domaine, couvre l’immense majorité des besoins. L’autorité vérifie que le demandeur contrôle bien le domaine, par un enregistrement DNS à ajouter ou un fichier à déposer à la racine du site, puis émet le certificat. Aucune pièce administrative, aucun échange humain, aucun délai.
Les deux niveaux supérieurs ont perdu leur principal argument commercial. Les navigateurs affichaient autrefois le nom de l’entreprise dans une barre verte pour les certificats à validation étendue. Google l’a retiré de Chrome en septembre 2019, Mozilla de Firefox dans la foulée, au motif que leurs études ne montraient aucun effet mesurable sur le comportement des visiteurs. Le certificat reste plus cher, la différence visuelle a disparu.
Deux options techniques se choisissent indépendamment du niveau de validation. Le certificat à caractère générique couvre d’un seul coup tous les sous-domaines d’un même domaine, boutique, blog et espace de test compris. Le certificat multi-domaine regroupe plusieurs noms distincts dans un même fichier, pratique quand un serveur héberge example.com et sa déclinaison régionale.
Obtenir un certificat sans budget
Le marché a basculé le jour où l’obtention est devenue gratuite et automatique.
L’autorité Let’s Encrypt, opérée par l’organisation à but non lucratif ISRG, délivre des certificats à validation de domaine sans frais. La demande, la validation, l’installation et le renouvellement passent par un protocole normalisé nommé ACME, exécuté par un programme installé sur le serveur. Plus rien à faire à la main une fois la mise en route effectuée.
Trois chemins mènent au même résultat, selon votre situation :
- l’hébergement mutualisé, où l’activation tient dans une case à cocher du panneau de gestion, et se déclenche parfois toute seule à la création du site
- le serveur que vous administrez, où un client ACME s’installe en quelques commandes puis reprend la main sur les renouvellements
- le service de diffusion placé devant le site, qui termine la connexion chiffrée à votre place et gère le certificat de son côté
La qualité de cette prise en charge mérite un coup d’œil avant de souscrire, au même titre que les sauvegardes et le temps de réponse serveur, comme le détaille notre guide pour choisir la bonne offre d’hébergement web.
Reste la question du payant. Un certificat facturé se justifie quand vous cherchez une garantie financière contractuelle, un niveau de validation supérieur, ou un support qui décroche un dimanche. Pour un site vitrine ou un blog, la version gratuite offre rigoureusement le même chiffrement.
Les cinq pannes qui cassent le cadenas
Un certificat correctement émis ne garantit pas une page sans avertissement. Cinq causes reviennent en boucle chez les hébergeurs.
| Symptôme observé | Cause réelle | Correction |
|---|---|---|
| Cadenas barré, page affichée | contenu mixte : images ou scripts appelés en HTTP | réécrire les adresses internes en relatif |
| Avertissement plein écran | certificat arrivé à échéance | relancer et vérifier le renouvellement |
| Erreur sur mobile seulement | chaîne de certification incomplète | installer le certificat intermédiaire fourni |
| Erreur sur une adresse, pas l’autre | nom absent du certificat | ajouter le sous-domaine au certificat |
| Erreur sur un seul poste | horloge système déréglée | corriger la date et l’heure de la machine |
Un mot de plus sur le contenu mixte, car il touche presque toutes les migrations. Le navigateur charge la page en HTTPS, puis découvre qu’une image, une police ou un script est appelé en HTTP. Il bloque les éléments actifs et dégrade son indicateur de sécurité. La cause se réduit presque toujours à des adresses absolues écrites en dur dans les contenus, du type http://example.com/photo.jpg, héritées d’avant la bascule.
Le symptôme le plus déroutant vient de la chaîne de certification : le site s’affiche parfaitement sur votre ordinateur et échoue sur le téléphone d’un client. Les navigateurs de bureau savent parfois compléter une chaîne incomplète à partir de leur cache, les autres non. Un test depuis un appareil neuf, sur réseau mobile, révèle en quelques secondes ce que votre poste habituel masque.
Le renouvellement n’est plus une tâche humaine
La durée de vie des certificats fond, et ce mouvement structure désormais toute la gestion du sujet.
Le CA/Browser Forum, l’organisme qui réunit autorités de certification et éditeurs de navigateurs, a adopté en avril 2025 le scrutin SC-081v3, proposé par Apple et voté sans opposition. Il fixe un calendrier de réduction de la durée maximale d’un certificat : 200 jours à compter de mars 2026, 100 jours à compter de mars 2027, puis 47 jours à compter de mars 2029, contre 398 jours jusque-là.
Les autorités anticipent ce calendrier. Let’s Encrypt, qui émet des certificats de 90 jours depuis ses débuts, a annoncé en décembre 2025 un passage à 64 jours en février 2027 puis à 45 jours en février 2028. La même autorité avait ouvert en janvier 2025 un profil de certificats valables un peu plus de six jours, dont le premier exemplaire a été émis en février 2025, avant une disponibilité générale en janvier 2026.
La conséquence pratique tient en une phrase : noter une date d’expiration dans un agenda ne suffit plus. Mettez en place un renouvellement automatique, contrôlez son exécution réelle dans les journaux du client ACME quelques jours après l’installation, puis laissez une alerte surveiller le reste. Attendre la première panne pour découvrir que la tâche ne tournait pas coûte un dimanche matin de réparation.
Basculer un site existant sans perdre son référencement
Une migration bâclée coûte des positions durement acquises. Cinq gestes, dans cet ordre précis.
- Activez le certificat et vérifiez que le site répond correctement sur l’adresse sécurisée, avant de toucher à quoi que ce soit d’autre.
- Corrigez le contenu mixte : adresses internes en relatif, ressources externes en HTTPS, thème et extensions compris.
- Posez des redirections 301 de chaque adresse en HTTP vers son équivalent sécurisé, en conservant le chemin exact.
- Alignez les balises canoniques, le plan de site et les liens internes sur la nouvelle adresse.
- Déclarez la version sécurisée dans la console de recherche, puis surveillez l’indexation pendant quelques semaines.
Le verrouillage définitif s’appelle HSTS. Cet en-tête ordonne au navigateur de ne plus jamais tenter de connexion non chiffrée vers votre domaine, ce qui supprime la courte fenêtre de redirection pendant laquelle une interception reste possible. Activez-le en dernier, avec une durée courte au départ : tant qu’il est en vigueur, un retour en arrière devient impossible côté visiteurs.
Côté positionnement, l’effet direct reste modeste. Google a annoncé en août 2014 traiter le HTTPS comme un signal de classement, en le qualifiant lui-même de signal léger, touchant moins de 1 % des requêtes mondiales et pesant nettement moins que la qualité du contenu. Le vrai levier se trouve ailleurs, dans l’interface du navigateur : depuis la version 68 de Chrome, publiée en juillet 2018, toutes les pages en HTTP portent la mention « Non sécurisé » dans la barre d’adresse. Google a depuis annoncé l’activation par défaut de l’option « Toujours utiliser des connexions sécurisées », qui réclame une confirmation avant le premier accès à un site public non chiffré. Un formulaire précédé d’un avertissement se remplit beaucoup moins.
Les redirections ajoutent aussi un aller-retour au chargement, sujet traité dans notre article sur la façon d’accélérer le chargement d’un site web. Sur un projet qui démarre, la question ne se pose même pas : partez directement en HTTPS, comme le rappelle notre guide pour créer son premier site internet.
Prochaine étape
Ouvrez votre site dans un navigateur et cliquez sur le cadenas : l’autorité émettrice et la date d’échéance s’y affichent en deux clics. Si cette date approche et que personne ne sait qui la repoussera, le problème est déjà identifié. Contrôlez le renouvellement automatique cette semaine, testez une page depuis un téléphone sur réseau mobile, et posez une alerte trente jours avant l’échéance. Un quart d’heure aujourd’hui contre une panne un dimanche matin.