Le cadenas qui apparaît dans la barre d'adresse d'un navigateur est l'un des symboles les plus connus du web. C'est un certificat SSL qui le fait apparaître, et ce qu'il fait réellement va plus loin que ce que la plupart des visiteurs imaginent. Il détermine si les données envoyées via votre site voyagent chiffrées ou en clair, lisibles par quiconque intercepte la connexion. Comprendre comment fonctionne le SSL, et où il s'arrête, change la façon dont vous protégez vos visiteurs.
Le SSL est la technologie sous-jacente qui rend le HTTPS possible. Quand le navigateur d'un visiteur se connecte à un site doté d'un certificat SSL valide, il établit une connexion chiffrée avant tout échange de données. L'icône de cadenas, le préfixe HTTPS dans la barre d'adresse et l'absence d'avertissement « Non sécurisé » du navigateur viennent tous de la présence et de la validité de ce certificat. Pour comprendre pourquoi la sécurité compte sur l'ensemble de votre site, lisez l'article sur pourquoi la sécurité d'un site web est importante.
Que fait vraiment un certificat SSL ?
Un certificat SSL remplit deux fonctions distinctes en même temps. Il chiffre les données en transit et il authentifie l'identité du site.
Le chiffrement
- Le chiffrement signifie que toute donnée envoyée entre le navigateur et le serveur est brouillée sous une forme illisible pendant la transmission
- Seul le destinataire prévu, le navigateur ou le serveur, détient la clé pour la rétablir
- Sans chiffrement, les formulaires envoyés, les identifiants de connexion et les données de paiement circulent sur les réseaux en clair, lisibles s'ils sont interceptés
L'authentification
- Un certificat SSL est délivré par une autorité de certification, une organisation indépendante qui vérifie l'identité d'un site avant d'émettre le certificat
- Cette vérification confirme que le domaine couvert par le certificat est contrôlé par l'organisation qui prétend en être propriétaire
- Quand un navigateur contrôle le certificat, il confirme à la fois que la connexion est chiffrée et que le site est bien celui qu'il prétend être, et non un imposteur
Comment fonctionne le chiffrement SSL ?
Le chiffrement se déroule automatiquement et de façon invisible au moment où un navigateur se connecte à un site. Il suit une suite d'étapes appelée la poignée de main TLS. TLS, ou Transport Layer Security, est le nom moderne du protocole appelé à l'origine SSL.
La séquence de connexion
- Le navigateur demande une connexion sécurisée et le serveur répond en envoyant son certificat SSL
- Le navigateur vérifie le certificat auprès de l'autorité de certification qui l'a émis, pour confirmer qu'il est valide et n'a pas expiré
- Les deux parties s'accordent sur une méthode de chiffrement et échangent des clés, ce qui établit un canal sécurisé
- Toutes les données transmises ensuite sont chiffrées pendant toute la durée de la session
Ce que protège le chiffrement
- Les données des formulaires de contact, dont les noms, les adresses e-mail et les messages
- Les identifiants de connexion, dont les noms d'utilisateur et les mots de passe
- Les données de carte de paiement et les informations de facturation
- Toute autre saisie qu'un visiteur envoie via votre site
Ce que le SSL ne protège pas
- Le SSL chiffre les données en transit. Il ne protège pas les données stockées de façon peu sûre sur le serveur une fois reçues
- Un site doté d'un certificat SSL peut quand même être piraté si le serveur lui-même présente des failles de sécurité
- Le SSL est une couche de sécurité d'un site, pas une solution complète à lui seul
Quels sont les différents types de certificats SSL ?
Les certificats SSL diffèrent par le niveau de vérification d'identité que l'autorité de certification effectue avant de les émettre.
Validation de domaine
- L'autorité de certification confirme seulement que le demandeur contrôle le domaine
- Le processus est automatisé et les certificats sont émis rapidement
- Les certificats à validation de domaine suffisent pour les blogs, les sites d'information et la plupart des sites qui ne traitent pas directement de paiements
Validation d'organisation
- L'autorité de certification vérifie à la fois le domaine et l'existence légale de l'organisation qui demande le certificat
- Les certificats à validation d'organisation sont plus souvent utilisés par les entreprises qui veulent afficher des informations d'organisation vérifiées avec le certificat
Validation étendue
- Les certificats à validation étendue passent par le processus de vérification d'identité le plus poussé, avec des contrôles juridiques, physiques et opérationnels de l'organisation
- Ils étaient autrefois associés à une barre d'adresse verte dans les navigateurs, mais cette distinction visuelle a disparu des navigateurs modernes
- Les certificats à validation étendue sont généralement utilisés par les établissements financiers et les grandes plateformes de commerce en ligne
Certificats wildcard et multi-domaines
- Un certificat wildcard couvre un domaine et tous ses sous-domaines avec un seul certificat
- Un certificat multi-domaines couvre plusieurs domaines distincts avec un seul certificat
- Ils sont pratiques pour les organisations qui gèrent plusieurs sites ou sous-domaines sans émettre un certificat distinct pour chacun
Tous les sites web ont-ils besoin d'un certificat SSL ?
Oui. Le besoin de HTTPS ne se limite pas aux sites qui encaissent des paiements ou traitent des données sensibles. Il concerne tout site accessible au public, pour trois raisons.
Les avertissements des navigateurs
- Les navigateurs affichent la mention « Non sécurisé » dans la barre d'adresse pour tout site servi en HTTP
- Pour les pages avec formulaires, certains navigateurs affichent un avertissement explicite avant que le visiteur n'envoie quoi que ce soit
- Ces avertissements réduisent la confiance et dissuadent les visiteurs d'interagir avec la page
Le classement dans les moteurs de recherche
- Le HTTPS est un signal de classement confirmé. Les sites servis en HTTPS ont un avantage de classement sur les pages équivalentes servies en HTTP
- Les moteurs de recherche réduisent aussi la visibilité des sites avec des avertissements de sécurité actifs dans les résultats
La protection des données des visiteurs
- Même un site qui n'a qu'un formulaire de contact collecte des données de visiteurs. Sans HTTPS, ces données sont transmises sans chiffrement
- Dans de nombreuses régions, les réglementations sur la protection des données exigent que les données personnelles soient traitées de façon sécurisée, ce qui inclut leur protection pendant la transmission
Comment obtenir un certificat SSL ?
Par votre hébergeur
- De nombreux hébergeurs web incluent des certificats SSL dans leurs formules d'hébergement
- Dans ce cas, le certificat est installé et renouvelé automatiquement, sans aucune action du propriétaire du site
- C'est l'option la plus simple pour la plupart des sites
Par une autorité de certification
- Les certificats SSL peuvent être obtenus directement auprès d'autorités de certification et installés manuellement sur un serveur
- Des certificats gratuits sont proposés par des autorités de certification largement reconnues et sont renouvelés automatiquement grâce à des outils de vérification
- Cette option demande plus de connaissances techniques et se retrouve plutôt chez les équipes de développement qui gèrent leurs propres serveurs
Après l'obtention du certificat
- Une fois le certificat installé, tous les liens internes et références de ressources du site doivent pointer vers des adresses HTTPS pour éviter les avertissements de contenu mixte
- Une redirection de HTTP vers HTTPS doit être configurée pour que les visiteurs qui arrivent sur la version HTTP soient envoyés automatiquement vers la version sécurisée
Pour une explication complète de ce que signifie HTTPS et de son effet sur vos visiteurs et votre classement, lisez l'article sur ce qu'est le HTTPS et comment il protège votre site web. Pour un guide complet sur la protection de votre site au-delà du certificat lui-même, lisez l'article sur comment protéger votre site web des pirates. Pour les sauvegardes comme mesure de sécurité complémentaire, lisez l'article sur comment sauvegarder votre site web.
Comment WEMASY gère les certificats SSL
Les certificats SSL sont inclus dans chaque offre WEMASY. Quand un site est créé sur la plateforme WEMASY, le certificat est installé et activé automatiquement. Toutes les pages sont servies en HTTPS par défaut, sans aucune configuration de la part du propriétaire du site.
Les certificats sont renouvelés automatiquement avant leur expiration. Il n'y a pas de renouvellement manuel et aucun risque qu'un certificat arrive à échéance et déclenche des avertissements dans les navigateurs. L'infrastructure SSL sous-jacente est gérée au niveau de la plateforme : les propriétaires de sites n'ont pas à s'en occuper directement.
Découvrez ce qui est inclus avec le créateur de site web WEMASY, ou consultez les offres sur la page des tarifs.
Questions fréquentes
Qu'est-ce qu'un certificat SSL ?
Un certificat SSL est un fichier numérique installé sur un serveur web qui permet des connexions chiffrées entre le serveur et les navigateurs des visiteurs. C'est lui qui permet à un site d'utiliser HTTPS plutôt que HTTP. Quand le navigateur d'un visiteur vérifie un certificat SSL valide, il établit un canal chiffré : les données transmises pendant la session ne peuvent pas être lues si elles sont interceptées en transit. Avec le créateur de site web de WEMASY, vous pouvez le mettre en place directement sur votre site.
Ai-je besoin d'un certificat SSL pour mon site web ?
Oui. Tout site accessible au public a besoin d'un certificat SSL. Les navigateurs affichent un avertissement « Non sécurisé » sur les sites qui n'en ont pas, et le HTTPS est un signal de classement confirmé pour les moteurs de recherche. Même un site qui ne collecte que des formulaires de contact transmet des données de visiteurs qui doivent être protégées pendant le transfert. Le type de certificat SSL nécessaire dépend de l'objectif du site, mais une forme de certificat est indispensable pour tous les sites.
Quelle est la différence entre SSL et TLS ?
TLS (Transport Layer Security) est la version moderne et mise à jour du protocole SSL (Secure Sockets Layer). Le SSL n'est plus activement utilisé depuis plus de vingt ans, mais le terme reste très employé familièrement pour désigner la technologie qui sécurise les connexions web. Quand quelqu'un parle de « certificat SSL », il s'agit presque toujours d'un certificat qui utilise TLS. Le protocole de chiffrement sous-jacent a été mis à jour, mais l'usage des certificats eux-mêmes n'a pas beaucoup changé.
Que se passe-t-il si mon certificat SSL expire ?
Quand un certificat SSL expire, les navigateurs affichent immédiatement un avertissement pleine page aux visiteurs qui tentent d'accéder au site. L'avertissement indique que la connexion n'est pas privée et dissuade les visiteurs de continuer. Le site devient en pratique inaccessible pour toute personne qui voit l'avertissement et ne choisit pas de le contourner. Les moteurs de recherche peuvent aussi réduire la visibilité du site. Les certificats doivent être renouvelés avant leur expiration, ce que la plupart des hébergeurs et des systèmes de gestion de certificats font automatiquement.
Un certificat SSL affecte-t-il les performances du site ?
La poignée de main TLS qui établit une connexion chiffrée ajoute un peu de temps à la connexion initiale. Sur les serveurs et réseaux modernes, ce surcoût se mesure généralement en millisecondes et reste imperceptible pour les visiteurs. HTTP/2, largement pris en charge et qui exige le HTTPS, peut améliorer la vitesse de chargement par rapport à HTTP/1.1 : en pratique, un site HTTPS bien configuré se charge souvent plus vite que son équivalent en HTTP.
Un certificat SSL gratuit vaut-il un certificat payant ?
Pour le chiffrement, un certificat gratuit à validation de domaine offre le même niveau de chiffrement qu'un certificat payant du même niveau de validation. L'icône de cadenas et le préfixe HTTPS s'affichent de la même façon dans le navigateur. Les certificats payants à validation d'organisation ou étendue offrent une vérification d'identité supplémentaire, pertinente pour les établissements financiers ou les grandes plateformes de commerce en ligne où l'information d'organisation vérifiée est importante. Pour la plupart des sites, un certificat gratuit suffit largement.