Les certificats de sécurité de site web portent plusieurs noms différents, et c'est là que naît l'essentiel de la confusion. Un certificat de sécurité de site web est la même chose qu'un certificat SSL, qu'un certificat TLS, ou que ce qui fait apparaître le cadenas dans la barre d'adresse de votre navigateur. Des termes différents, un seul objet. Une fois cela compris, tout le reste sur les certificats de sécurité devient bien plus simple.
Le cadenas dans la barre d'adresse, le HTTPS au début d'une adresse web, l'avertissement « Non sécurisé » sur les sites qui n'en ont pas : tout cela revient à une seule chose, un certificat de sécurité de site web. Pour comprendre comment ces éléments s'articulent avec le sujet plus large de la protection d'un site, lisez l'article sur pourquoi la sécurité d'un site web est importante.
Qu'est-ce qu'un certificat de sécurité de site web ?
Un certificat de sécurité de site web est un petit fichier installé sur un serveur web qui fait deux choses. Il brouille les données échangées entre le navigateur du visiteur et votre site pour que personne d'autre ne puisse les lire en transit, et il prouve que votre site est bien celui qu'il prétend être. Quand ces deux éléments sont en place, le navigateur affiche le cadenas et le préfixe HTTPS dans la barre d'adresse.
Ce qu'il fait, en termes simples
- Quand un visiteur remplit un formulaire de contact, se connecte ou saisit des données de paiement, ces informations voyagent de son navigateur jusqu'à votre serveur. Sans certificat, elles circulent en clair, lisibles par toute personne sur le même réseau
- Avec un certificat, ces mêmes informations sont brouillées avant de quitter le navigateur et ne peuvent être rétablies qu'à leur arrivée sur votre serveur. Personne entre les deux ne peut les lire
- Le certificat porte aussi la preuve que votre domaine vous appartient, ce qui indique au navigateur qu'il parle au vrai site et non à une imitation
Les différents noms qu'il porte
- Certificat SSL est le terme le plus courant. SSL signifie Secure Sockets Layer, le nom d'origine de la technologie. Elle a techniquement été remplacée par une version plus récente appelée TLS (Transport Layer Security), mais presque tout le monde emploie encore le terme SSL
- Certificat TLS désigne la même chose avec le nom mis à jour. Si quelqu'un parle d'un certificat TLS, il parle du même objet qu'un certificat SSL
- Certificat HTTPS s'emploie familièrement, car le HTTPS est le signe visible qu'un certificat est en place
- Certificat de sécurité de site web est la version en langage courant, utilisée pour l'expliquer à quelqu'un sans bagage technique
- Tous ces noms désignent la même chose. Le certificat lui-même ne change pas selon le nom qu'on lui donne
Pour mieux comprendre le fonctionnement technique des certificats SSL, lisez l'article sur ce qu'est un certificat SSL et comment il fonctionne.
Ce que prouve un certificat de sécurité de site web
La propriété du domaine
Un certificat de sécurité de base, appelé certificat à validation de domaine, prouve une seule chose : que la personne qui a installé le certificat contrôle le domaine. L'autorité de certification (l'entreprise qui émet le certificat) vérifie que vous êtes propriétaire du domaine avant d'émettre le certificat. Le cadenas que vous voyez dans la barre d'adresse signifie que cette vérification a réussi.
C'est le type de certificat qui convient à la grande majorité des sites. Les sites d'entreprise, les blogs, les portfolios, les sites de services et les boutiques en ligne utilisent tous des certificats à validation de domaine. Il est gratuit, s'installe en quelques minutes sur la plupart des plateformes et offre le même niveau de protection des données que des types de certificats plus coûteux.
L'identité de l'organisation
Les certificats de niveau supérieur vont plus loin. Un certificat à validation d'organisation ou à validation étendue exige que l'autorité de certification vérifie l'identité juridique de l'entreprise derrière le site, pas seulement que quelqu'un contrôle le domaine.
Les banques, les sites publics et les grandes plateformes financières les utilisent généralement, car leurs visiteurs doivent voir une preuve vérifiée de qui exploite le site. Pour un site d'entreprise standard, les certificats de niveau supérieur ne sont pas nécessaires. Le chiffrement est identique. La seule différence est la quantité d'informations sur l'organisation qui ont été vérifiées par l'émetteur.
Comment savoir qu'un site a un certificat de sécurité
Le cadenas dans la barre d'adresse
Tous les grands navigateurs affichent une icône de cadenas dans la barre d'adresse quand un site a un certificat de sécurité valide installé. Cliquer sur le cadenas montre des détails sur le certificat, dont l'émetteur et la date d'expiration. Pas de cadenas, pas de certificat valide.
HTTPS dans l'adresse
Le S de HTTPS signifie Secure. Il n'apparaît dans la barre d'adresse que lorsqu'un certificat valide est en place et que la connexion entre le navigateur et le serveur est chiffrée. Un site dont l'adresse commence par un simple HTTP n'a pas de certificat actif, même si l'un a été installé à un moment donné. Pour une explication complète de ce que signifie HTTPS et de la façon dont il protège les visiteurs, lisez l'article sur ce qu'est le HTTPS et comment il protège votre site web.
Ce qui se passe sur les sites qui n'en ont pas
- Les navigateurs affichent un avertissement « Non sécurisé » dans la barre d'adresse sur tout site servi en simple HTTP
- Sur les pages avec des champs de connexion ou des formulaires, certains navigateurs affichent un avertissement plus visible indiquant que la connexion n'est pas privée
- Les visiteurs qui voient ces avertissements, surtout sur une page qui leur demande leurs informations, sont bien moins susceptibles de continuer
- Les moteurs de recherche utilisent le HTTPS comme signal de classement. Un site sans certificat valide est désavantagé dans les résultats de recherche par rapport aux sites équivalents qui en ont un
Pourquoi chaque site web a besoin d'un certificat de sécurité
La confiance des visiteurs
Le cadenas est devenu un signal de base qu'un site est sûr. Les visiteurs qui achètent en ligne, remplissent des formulaires ou se connectent à des comptes ont appris à le chercher. Un site qui n'en a pas ne paraît pas seulement moins sûr. Il donne l'impression de ne s'être pas soucié de sécurité du tout, une impression plus difficile à rattraper que la plupart des propriétaires de sites ne le pensent.
Pour les pages avec des formulaires de contact, des connexions à un compte ou toute forme de paiement, l'absence de HTTPS est une raison directe pour les visiteurs de s'arrêter et de partir. Le certificat ne protège pas seulement les données. Il garde les gens sur la page.
Le classement dans les recherches
Les moteurs de recherche traitent le HTTPS comme un signal de classement. Les pages servies en HTTPS ont un avantage sur les pages servies en simple HTTP, à égalité par ailleurs. Pour des recherches concurrentielles, cet avantage peut faire une vraie différence sur la position d'une page. Un site sans certificat ne remplit pas non plus les critères d'expérience de page que les moteurs de recherche utilisent dans leur évaluation du classement.
La protection des données
Tout site qui recueille des informations auprès de ses visiteurs, par un formulaire de contact, une page de connexion ou un paiement, traite des données personnelles. Sans certificat, ces données circulent sur le réseau en clair. Un certificat garantit qu'elles sont brouillées avant de quitter le navigateur, pour qu'elles ne puissent pas être lues si elles sont interceptées en chemin.
Dans de nombreux pays, collecter des données personnelles sans mesures de sécurité de base crée une exposition juridique pour le propriétaire du site. Un certificat de sécurité de site web est la mesure de base pour protéger les données en transit et respecter le niveau minimal attendu par les lois sur la protection des données.
Comment obtenir un certificat de sécurité de site web
Par votre hébergeur
De nombreuses plateformes d'hébergement gérées et de créateurs de site web incluent un certificat de sécurité dans chaque offre. Dans ce cas, le certificat est généralement installé automatiquement quand le site ou le domaine est connecté. Rien n'est à acheter ni à configurer séparément.
Si vous hébergez déjà un site et ne savez pas si un certificat est en place, visitez le site et regardez si l'adresse commence par HTTPS et si le cadenas apparaît. Si oui, le certificat est déjà actif. Sinon, consultez le panneau d'hébergement ou contactez votre fournisseur pour savoir si un certificat est inclus ou doit être ajouté.
L'obtenir séparément
Des certificats de sécurité gratuits sont proposés par des autorités de certification de confiance pour les sites sur un hébergement géré par leur propriétaire. La vérification est automatisée et prend quelques minutes. Le certificat est valide 90 jours et peut être configuré pour se renouveler automatiquement, afin qu'il n'expire pas sans prévenir.
Des certificats payants existent aussi et couvrent en général une période de validité plus longue. Pour un certificat standard à validation de domaine, l'option gratuite est équivalente à tous égards. La voie payante concerne plutôt les certificats à validation d'organisation ou étendue, qui exigent une vérification d'identité manuelle.
Pour un guide pas à pas sur l'obtention et l'installation d'un certificat, lisez l'article sur comment obtenir un certificat SSL pour votre site web.
Comment WEMASY gère les certificats de sécurité de site web
Les certificats SSL sont inclus dans chaque offre WEMASY et appliqués automatiquement. Quand un site est créé ou qu'un domaine personnalisé est connecté, le certificat est émis et installé sans aucune action du propriétaire du site. Il n'y a rien à acheter, rien à configurer et aucun renouvellement à gérer.
Tous les sites sur WEMASY fonctionnent en HTTPS par défaut dès le premier jour. Les avertissements de contenu mixte ne sont pas un souci, car toutes les ressources servies par la plateforme utilisent HTTPS. Les redirections de HTTP vers HTTPS sont en place au niveau de la plateforme : les visiteurs arrivent toujours sur la version sécurisée du site, quel que soit leur chemin d'accès.
Découvrez ce qui est inclus avec le créateur de site web WEMASY, ou consultez les offres sur la page des tarifs.
Questions fréquentes
Qu'est-ce qu'un certificat de sécurité de site web ?
Un certificat de sécurité de site web est un fichier installé sur un serveur web qui fait deux choses : il brouille les données échangées entre le navigateur d'un visiteur et le site pour qu'elles ne puissent pas être lues en transit, et il prouve que le site est bien celui qu'il prétend être. Quand un certificat valide est en place, les navigateurs affichent un cadenas dans la barre d'adresse et l'adresse du site commence par HTTPS. C'est la même chose qu'un certificat SSL, qu'un certificat TLS ou qu'un certificat HTTPS, décrit simplement avec des noms différents. Avec le créateur de site web de WEMASY, vous pouvez le mettre en place directement sur votre site.
Un certificat de sécurité de site web est-il la même chose qu'un certificat SSL ?
Oui. Certificat SSL, certificat TLS, certificat HTTPS et certificat de sécurité de site web désignent la même chose. SSL (Secure Sockets Layer) est l'ancien nom de la technologie. TLS (Transport Layer Security) est la version mise à jour qui l'a remplacée. Le terme SSL est resté : la plupart des gens et des fournisseurs l'emploient encore, même si TLS est la norme actuelle. Quel que soit son nom, le certificat fonctionne de la même façon et remplit le même rôle.
Mon site web a-t-il besoin d'un certificat de sécurité ?
Oui. Tout site accessible au public en a besoin, pas seulement ceux qui traitent des paiements ou des données sensibles. Les navigateurs affichent un avertissement « Non sécurisé » sur les sites sans certificat, ce qui réduit la confiance des visiteurs et peut les empêcher de remplir des formulaires ou de continuer à naviguer. Le HTTPS est aussi un signal de classement confirmé : les sites sans certificat sont donc désavantagés dans les résultats de recherche. Tout site qui recueille des informations de visiteurs par des formulaires, des connexions ou des commentaires doit avoir au minimum un certificat en place.
Comment savoir si mon site web a un certificat de sécurité ?
Visitez votre site et regardez la barre d'adresse. Si l'adresse commence par HTTPS et qu'une icône de cadenas apparaît, un certificat valide est en place. Si l'adresse commence par un simple HTTP, ou si le navigateur affiche la mention « Non sécurisé », le certificat est absent ou mal configuré. Cliquer sur le cadenas montre des détails sur le certificat, dont l'émetteur et la date d'expiration.
Comment obtenir un certificat de sécurité de site web ?
Vérifiez d'abord votre offre d'hébergement. De nombreux hébergeurs et créateurs de site web incluent un certificat automatiquement. Si votre hébergement l'inclut, le certificat est peut-être déjà installé. Sinon, des certificats gratuits à validation de domaine sont proposés par des autorités de certification de confiance et peuvent être mis en place en quelques minutes. Pour un guide pas à pas sur l'obtention et l'installation d'un certificat, lisez l'article sur comment obtenir un certificat SSL pour votre site web.
Que se passe-t-il si mon certificat de sécurité expire ?
Les navigateurs affichent immédiatement un avertissement pleine page quand le certificat d'un site a expiré. Les visiteurs voient un message indiquant que la connexion n'est pas privée, et la plupart ne vont pas au-delà. Le site est en pratique inaccessible à la plupart des visiteurs tant que le certificat n'est pas renouvelé. Configurer le renouvellement automatique l'évite complètement. Sur les plateformes d'hébergement gérées, le renouvellement est automatique. Sur les serveurs gérés par leur propriétaire, configurer le renouvellement automatique dès la première installation du certificat est le moyen le plus sûr d'éviter une expiration passée inaperçue.