Demandez à n'importe qui ce qu'est un certificat SSL et vous obtiendrez toute une gamme de réponses, de « ce qui fait marcher le HTTPS » à « aucune idée, mais je sais que les sites en ont besoin ». Les deux sont plus proches de la vérité qu'il n'y paraît. Un certificat SSL est l'identifiant numérique qui chiffre la connexion entre le navigateur d'un visiteur et un serveur web, et il est émis spécifiquement pour un nom de domaine. Il influence l'apparence de votre site dans les navigateurs, la façon dont les moteurs de recherche le traitent et la confiance qu'il inspire aux visiteurs pour qu'ils restent.
Qu'est-ce qu'un certificat SSL ?
Un certificat SSL est un fichier numérique installé sur un serveur web, qui fait deux choses. D'abord, il chiffre les données qui circulent entre le navigateur d'un visiteur et votre serveur, de sorte que les informations envoyées, y compris les formulaires, les identifiants de connexion et les données de paiement, ne puissent pas être lues par quelqu'un qui intercepterait la connexion. Ensuite, il vérifie que le serveur appartient bien au domaine auquel il prétend appartenir, pour que les visiteurs soient sûrs d'être arrivés sur le bon site.
SSL signifie Secure Sockets Layer. La technologie a évolué au fil des ans et la norme actuelle s'appelle techniquement TLS (Transport Layer Security), mais le terme SSL est resté d'usage courant et la plupart des gens, des registraires et des hébergeurs continuent d'appeler ces certificats des certificats SSL, quelle que soit la version sous-jacente.
Quand un certificat est installé et valide, les navigateurs affichent un cadenas dans la barre d'adresse et chargent le site en HTTPS. Le « S » à la fin de HTTP, c'est ce que rend possible le SSL. Sans certificat, la connexion n'est pas chiffrée, l'adresse affiche du simple HTTP et les navigateurs modernes montrent aux visiteurs un avertissement « Non sécurisé ».
Que signifie HTTPS et comment le SSL le fait-il fonctionner ?
HTTP est le protocole que les navigateurs utilisent pour demander et recevoir des pages web. HTTPS est le même protocole avec une couche de chiffrement par-dessus, fournie par un certificat SSL. Chaque fois qu'un visiteur charge une page d'un site en HTTPS, son navigateur et le serveur effectuent un rapide échange de vérification. Pendant cet échange, le navigateur examine le certificat SSL, confirme qu'il est valide et émis pour le bon domaine, et établit une connexion chiffrée. Ensuite, toutes les données entre le visiteur et le serveur sont brouillées pendant le transit.
Pour les visiteurs, cela signifie que tout ce qu'ils saisissent dans un formulaire, toute page qu'ils consultent et toute donnée que le site renvoie à leur navigateur ne peuvent pas être lues par un tiers qui surveillerait cette connexion. Pour les propriétaires de marque, cela signifie que la communication entre le site et ses visiteurs est privée et sécurisée par défaut.
Le cadenas dans la barre d'adresse du navigateur est la confirmation visible que le HTTPS est actif et que le certificat est valide. Un cadenas vert ou gris signifie que la connexion est chiffrée et que le certificat a été vérifié. Un cadenas brisé, un cadenas barré ou l'absence de cadenas signifie que la connexion n'est pas chiffrée ou qu'il y a un problème de certificat.
Quel est le lien entre un certificat SSL et votre domaine ?
Un certificat SSL est émis pour un nom de domaine précis. Quand une autorité de certification, organisation de confiance qui émet et contrôle les certificats, signe un certificat, elle le lie à un ou plusieurs noms de domaine. Un certificat émis pour votremarque.com couvre exactement ce domaine. Il ne couvre pas automatiquement la version www, les variantes en sous-domaine ni aucun autre domaine, sauf s'ils sont explicitement inclus dans le certificat.
C'est le lien direct entre SSL et votre domaine. Le certificat n'est pas installé sur un serveur quelconque. Il est émis pour votre nom de domaine, et le navigateur vérifie que le domaine du certificat correspond à celui que le visiteur essaie d'atteindre. S'ils ne correspondent pas, le navigateur affiche un avertissement de sécurité, que le certificat lui-même soit valide ou non.
Le chapitre précédent sur la protection de votre domaine contre le détournement traitait des menaces au niveau du compte pour votre enregistrement. Le SSL agit à un autre niveau : il protège ce qui se passe sur la connexion, pas qui contrôle l'enregistrement du domaine. Comprendre ce qu'est un nom de domaine et comment il fait office d'adresse de votre site aide à mieux voir ce lien. Le domaine est le nom auquel le certificat est lié, et le nom comme le certificat doivent être en ordre pour que la connexion sécurisée fonctionne.
Le lien entre votre domaine et l'endroit où sont hébergés les fichiers de votre site compte aussi ici. Comme le certificat est installé sur le serveur où se trouve votre site, et que le domaine pointe vers ce serveur, les deux doivent être alignés. Le chapitre sur domaine et hébergement explique comment un nom de domaine et un compte d'hébergement sont reliés, c'est la même infrastructure qui fait fonctionner le SSL en pratique.
Quels sont les types de certificats SSL ?
Les certificats SSL existent en trois grands niveaux de validation. La différence tient à la rigueur avec laquelle l'autorité de certification vérifie l'organisation derrière le domaine avant d'émettre le certificat.
Validation de domaine (DV)
Un certificat à validation de domaine confirme que la personne qui le demande contrôle bien le domaine. L'autorité de certification vérifie qu'elle a accès aux enregistrements DNS du domaine ou à la boîte e-mail associée. Aucune vérification de l'identité ou de l'existence légale de l'organisation n'est faite. Les certificats DV sont émis rapidement, souvent automatiquement, et sont le type le plus courant pour les sites personnels, les blogs et les petits sites de marque. Le cadenas apparaît, la connexion est chiffrée et les visiteurs voient du HTTPS. Pour la plupart des sites, le DV suffit.
Validation d'organisation (OV)
Un certificat à validation d'organisation inclut un contrôle de l'existence légale et des coordonnées de l'organisation qui le demande. L'autorité de certification consulte des registres publics pour confirmer que l'organisation existe et que la personne qui demande le certificat a le pouvoir de le faire. Les certificats OV sont en général utilisés par des marques et des organisations établies qui veulent attacher à leur certificat un niveau d'identité plus vérifié.
Validation étendue (EV)
Un certificat à validation étendue implique le processus de vérification le plus approfondi. L'autorité de certification contrôle l'enregistrement légal, l'adresse physique, le fait que l'organisation est bien en activité et que la personne qui fait la demande a le droit de la formuler. Les certificats EV étaient historiquement associés à une barre d'adresse verte dans les navigateurs, même si la plupart des navigateurs modernes ont cessé de montrer cette distinction visuelle de façon marquée. Ils sont les plus courants pour les établissements financiers et les plateformes e-commerce où la confiance est une priorité.
Pour un site de marque ordinaire, un certificat DV couvre ce qu'il faut. Le chiffrement et le cadenas HTTPS sont identiques pour les trois types. La différence tient au niveau d'identité de l'organisation qui a été vérifié et attaché au certificat.
Que se passe-t-il pour votre site sans certificat SSL ?
Un site sans certificat SSL se charge en simple HTTP. Pour les visiteurs, la conséquence la plus visible est l'avertissement du navigateur. Chrome et les autres grands navigateurs affichent la mention « Non sécurisé » dans la barre d'adresse de tout site qui ne fonctionne pas en HTTPS. Sur les pages avec des formulaires ou des champs de connexion, les navigateurs peuvent afficher un avertissement plus marqué qui décourage activement les visiteurs de saisir la moindre information.
Le signal de confiance ainsi envoyé est important. Les visiteurs qui voient la mention « Non sécurisé » sont plus susceptibles de partir avant d'avoir rien lu. Pour un site qui demande aux visiteurs de vous contacter, de s'inscrire ou d'acheter, l'absence de SSL influe directement sur le nombre de ceux qui vont jusqu'au bout.
L'impact SEO est lui aussi réel. Google a confirmé que le HTTPS est un signal de classement : les sites avec SSL ont un avantage mesurable dans les résultats de recherche par rapport aux sites équivalents sans SSL. L'avantage n'est pas énorme en soi, mais combiné aux taux de rebond plus élevés dus aux avertissements du navigateur, un site sans SSL livre un combat difficile sur plusieurs fronts. Cela est détaillé dans la section ci-dessous.
Comment le SSL affecte-t-il votre classement dans la recherche ?
Google utilise le HTTPS comme signal de classement depuis 2014. Le signal lui-même donne un gain de classement modéré, mais les effets indirects de l'absence de SSL sont souvent plus importants que le signal lui-même. Un site qui déclenche des avertissements de sécurité du navigateur verra un taux de rebond plus élevé, un temps passé sur le site plus court et moins de conversions. Tous ces signaux de comportement se répercutent à terme sur les performances dans la recherche.
Les robots d'exploration de Google préfèrent aussi indexer les versions HTTPS des pages. Si votre site fonctionne à la fois en HTTP et en HTTPS sans configuration correcte, vous pouvez vous retrouver avec des problèmes de contenu dupliqué, des signaux de liens dispersés et de la confusion à l'exploration. Avoir le SSL installé et bien configuré, avec une redirection de HTTP vers HTTPS, garde tous ces signaux regroupés sur une seule version de votre site.
D'un point de vue purement pratique, le HTTPS est désormais l'attente de base pour tout site qui veut être bien classé et pris au sérieux par les visiteurs. Ce n'est pas tant un avantage concurrentiel que le ticket d'entrée.
Comment obtenir un certificat SSL ?
Il y a trois grandes façons d'obtenir un certificat SSL pour votre domaine, et la bonne option dépend de l'endroit où votre site est hébergé et de votre configuration d'hébergement.
Via votre hébergeur ou votre plateforme de création de site
Si votre site est hébergé sur une plateforme ou chez un hébergeur, la voie la plus directe passe par lui. Beaucoup d'hébergeurs et de plateformes incluent le SSL dans leur offre et s'occupent de l'installation automatiquement. Quand vous connectez votre domaine à votre compte d'hébergement, le certificat est émis et configuré sans que vous ayez rien à faire à la main. C'est la voie qui crée le moins de friction et le moins d'erreurs de configuration.
Via votre registraire de domaine
Certains registraires de domaines proposent des certificats SSL en option avec l'enregistrement du domaine. Vous achetez le certificat dans le même tableau de bord que celui où votre domaine est enregistré, puis vous l'installez sur votre serveur ou suivez les instructions du registraire. Le processus demande plus d'intervention que d'obtenir le SSL chez un hébergeur qui l'automatise, mais c'est une option simple pour ceux qui gèrent leur propre serveur. Le chapitre sur comment enregistrer un domaine est une bonne référence pour comprendre ce que les registraires proposent en général en plus de l'enregistrement.
SSL gratuit via une autorité de certification gratuite
Il existe une autorité de certification gratuite et automatisée qui émet des certificats DV sans frais. Elle a été créée pour rendre le SSL accessible à chaque site d'internet, et elle y est parvenue. La majorité des hébergeurs la prennent en charge, soit nativement, soit par des intégrations, et beaucoup la configurent automatiquement quand vous connectez un domaine. Les certificats sont renouvelés automatiquement tous les 90 jours, ce qui supprime le risque d'un certificat expiré provoquant des avertissements du navigateur.
Quand utiliser un certificat SSL gratuit plutôt qu'un payant ?
Pour la plupart des sites de marque, un certificat gratuit couvre tout ce qu'il faut. Le chiffrement est identique à celui des certificats payants. Le cadenas apparaît. Le protocole HTTPS fonctionne. Les visiteurs voient un site sécurisé. Si votre hébergeur prend en charge cette autorité gratuite et la configure automatiquement, il n'y a aucune raison de payer un certificat pour obtenir la même protection de niveau DV.
Les certificats payants ont du sens dans des situations précises. Si vous avez besoin d'un certificat OV ou EV pour une vérification d'organisation, il faut un certificat payant, car l'autorité gratuite n'émet que du DV. Si vous gérez un site e-commerce de grande envergure, un service financier ou toute plateforme où l'identité de l'organisation derrière le site est un facteur de confiance réel pour les utilisateurs, la vérification supplémentaire d'un OV ou d'un EV vaut son coût.
Les certificats payants s'accompagnent aussi souvent de fonctions comme une garantie, c'est-à-dire une couverture financière dans le cas peu probable où une erreur de certificat causerait un problème de sécurité, et un support client plus détaillé. Pour un petit site de marque ou un site centré sur le contenu, ces extras apportent rarement une valeur pratique. Pour un site à fort volume de transactions, la garantie et l'accès au support peuvent compter.
Renouvellement d'un certificat SSL et ce qui arrive à son expiration
Les certificats SSL ont une date d'expiration. Les certificats standard sont valables jusqu'à 13 mois (environ 397 jours). Quand un certificat expire, les navigateurs affichent immédiatement des avertissements de sécurité à chaque visiteur, quel que soit l'aspect du site la veille. Le cadenas disparaît, la mention « Non sécurisé » apparaît et les visiteurs voient des pages d'erreur bien visibles les prévenant que le certificat du site a expiré.
C'est un moyen rapide de perdre la confiance des visiteurs et le trafic naturel. Les avertissements d'expiration de certificat sont aussi relevés par les outils de surveillance et peuvent déclencher des notifications de Search Console ou de services de surveillance de disponibilité si vous les avez configurés.
La solution pratique est la même que pour l'expiration d'un domaine : automatiser le renouvellement. Les certificats de l'autorité gratuite se renouvellent automatiquement tous les 90 jours si l'hébergeur a bien configuré le processus. Beaucoup de fournisseurs de certificats payants proposent aussi le renouvellement automatique. Si vous gérez votre propre certificat, programmez un rappel dans votre agenda bien avant la date d'expiration pour avoir le temps de renouveler et de réinstaller sans interruption de couverture.
Qu'est-ce qu'un certificat SSL wildcard ?
Un certificat SSL standard couvre un domaine précis et, en option, sa version www. Un certificat wildcard couvre le domaine racine et tous ses sous-domaines à la fois. Un wildcard pour votremarque.com couvrirait aussi boutique.votremarque.com, blog.votremarque.com, app.votremarque.com et tout autre sous-domaine que vous créez, sans avoir besoin d'un certificat séparé pour chacun.
Les certificats wildcard sont utiles pour les marques qui font tourner plusieurs services ou sections de site sur différents sous-domaines. Le chapitre sur domaine personnalisé vs sous-domaine explique quand les sous-domaines ont du sens et leur lien avec votre domaine principal, c'est le contexte dans lequel les certificats wildcard deviennent pertinents.
Pour un site de marque simple sur un seul domaine avec une version www, un certificat standard suffit. Le wildcard est une étape pratique de plus quand la structure de votre domaine comporte plusieurs sous-domaines actifs.
Comment WEMASY gère le SSL
WEMASY inclut le SSL sur tous les sites hébergés sur la plateforme. Quand vous connectez un domaine à votre site WEMASY, un certificat SSL est émis et configuré automatiquement. La redirection HTTPS est activée par défaut, donc le domaine s'ouvre de façon sécurisée sans configuration manuelle. Le renouvellement du certificat est géré côté plateforme, donc il n'y a ni date d'expiration à suivre ni processus de renouvellement à gérer.
Pour les domaines enregistrés ou connectés via WEMASY, le certificat couvre le domaine que vous avez configuré. Voyez ce que comprend chaque offre sur les tarifs WEMASY.
Questions fréquentes
Un certificat SSL protège-t-il mon site contre le piratage ?
Un certificat SSL chiffre les données qui circulent entre le navigateur d'un visiteur et votre serveur. Il ne protège pas les fichiers, la base de données ni le code de votre site contre un accès non autorisé. Un site peut avoir un certificat SSL valide et rester vulnérable à des attaques visant le serveur, le système de gestion de contenu ou l'application elle-même. Le SSL répond à un risque précis, l'interception des données en transit, et rien d'autre. Garder votre plateforme et vos logiciels à jour répond à la catégorie plus large de la sécurité du site. Avec le créateur de site web de WEMASY, vous pouvez le configurer directement sur votre site.
Puis-je avoir le SSL sur une page mais pas sur les autres ?
Non. Un certificat SSL s'applique à tout le domaine, pas à des pages individuelles. Une fois le HTTPS configuré et les requêtes HTTP redirigées vers HTTPS, chaque page du domaine se charge via une connexion sécurisée. Vous ne pouvez pas appliquer le chiffrement à certaines pages seulement du même domaine. Certains sites chargent du contenu mixte, c'est-à-dire des pages HTTPS dont des ressources comme des images ou des scripts se chargent encore en HTTP simple, mais c'est un problème de configuration, pas un choix voulu. Les navigateurs le signalent comme un problème de sécurité.
Mes liens existants cesseront-ils de fonctionner si je passe de HTTP à HTTPS ?
Les liens externes pointant vers la version HTTP de vos URL continueront de fonctionner si vous mettez en place une redirection 301 correcte de HTTP vers HTTPS. Une redirection 301 envoie automatiquement les visiteurs et les moteurs de recherche de l'ancienne adresse HTTP vers la version HTTPS, en préservant la plus grande part de la valeur des liens. Sans redirection, les liens HTTP mènent à une version non chiffrée de votre site ou à une erreur, selon la configuration de votre serveur. Mettre la redirection en place correctement est une étape standard de toute installation SSL.
Me faut-il un certificat SSL séparé pour chaque extension de domaine que je possède ?
Oui. Un certificat SSL est émis pour un domaine précis. Si vous possédez votremarque.com et votremarque.net comme enregistrements séparés, chacun a besoin de son propre certificat. Le certificat de votremarque.com ne s'applique pas à votremarque.net. L'extension du domaine fait partie de ce que le certificat couvre. Le chapitre sur ce qu'est une extension de domaine explique le fonctionnement des TLD comme identifiants distincts, ce qui aide à comprendre pourquoi chaque domaine a besoin de son propre certificat.
Quelle différence entre le SSL et la protection de la vie privée du domaine ?
Ce sont deux choses distinctes qui répondent à des préoccupations différentes. Le SSL chiffre la connexion entre le navigateur d'un visiteur et votre serveur, protégeant les données en transit. La protection de la vie privée du domaine (protection WHOIS) masque les coordonnées personnelles du titulaire du domaine dans la base WHOIS publique, pour que votre nom et votre adresse ne soient pas visibles de quiconque consulte le domaine. L'une protège les données du visiteur pendant la navigation, l'autre protège les informations personnelles du titulaire contre la consultation publique. Les deux valent la peine d'être activées, mais elles ont des buts totalement différents.
Mon certificat SSL est affiché comme valide mais les visiteurs voient quand même un avertissement de sécurité. Pourquoi ?
La cause la plus courante est le contenu mixte. Cela arrive quand une page HTTPS charge une ou plusieurs ressources en HTTP, comme une image, un script ou une feuille de style hébergés sur une URL non sécurisée. Le navigateur signale la page comme non sûre parce que tout son contenu n'est pas chiffré. Cherchez dans le code source de votre site les liens ou ressources intégrées qui commencent par « http:// » au lieu de « https:// » et mettez-les à jour vers leurs versions sécurisées. La plupart des outils pour développeurs des navigateurs peuvent identifier directement les sources de contenu mixte.
Le chapitre suivant traite des redirections 301 : ce qu'elles sont, comment elles fonctionnent et quand vous en avez besoin pour déplacer le trafic et la valeur des liens d'une URL à une autre.