Passer un site de HTTP à HTTPS change une lettre dans la barre d'adresse et change tout dans la façon dont les données circulent entre le site et ses visiteurs. HTTPS, pour Hypertext Transfer Protocol Secure, est la version chiffrée du protocole que les sites utilisent pour envoyer et recevoir des données. Il influence le classement dans les recherches, détermine comment les navigateurs présentent votre site aux visiteurs et décide si les informations personnelles saisies sur vos pages sont protégées ou exposées pendant le trajet. Savoir exactement ce que fait le HTTPS, et ce qu'il ne fait pas, distingue une installation réellement sécurisée de celle qui en a seulement l'apparence.
HTTP est la base de la communication de données sur le web. Chaque fois qu'un navigateur demande une page et que le serveur la livre, cet échange passe par HTTP. Le problème est que HTTP sans chiffrement transmet les données en clair. Quiconque a accès au trafic réseau entre le navigateur et le serveur peut lire ce qui est envoyé. Le HTTPS résout cela en ajoutant du chiffrement à cette même communication grâce à un certificat SSL. Pour une explication complète du fonctionnement des certificats SSL, lisez l'article sur ce qu'est un certificat SSL et comment il fonctionne.
Quelle est la différence entre HTTP et HTTPS ?
Comment circulent les données
- HTTP transmet les données en texte clair. Un formulaire envoyé en HTTP fait voyager la saisie du visiteur sur les réseaux dans un format lisible s'il est intercepté
- HTTPS chiffre les données avant qu'elles quittent le navigateur et ne les déchiffre qu'à leur arrivée sur le serveur. Les données interceptées sont illisibles sans la clé de déchiffrement
- Cette différence est invisible pour les visiteurs en usage normal, mais elle détermine si les données qu'ils envoient sont protégées ou exposées pendant le trajet
Ce que les navigateurs montrent aux visiteurs
- Les sites servis en HTTPS affichent une icône de cadenas dans la barre d'adresse du navigateur, signe que la connexion est sécurisée
- Les sites servis en HTTP affichent la mention « Non sécurisé ». Sur les pages avec des champs de saisie, certains navigateurs affichent un avertissement plus visible
- Les visiteurs qui voient la mention « Non sécurisé » avant d'envoyer un formulaire ou d'acheter sont moins susceptibles de continuer
Le rôle du certificat SSL
- HTTPS exige un certificat SSL installé sur le serveur. C'est le certificat qui rend les connexions chiffrées possibles
- Sans certificat valide, le navigateur ne peut pas établir de connexion sécurisée et affiche un avertissement au lieu de charger normalement la page
- Le certificat vérifie aussi l'identité du site, en confirmant que le domaine appartient bien à l'organisation qu'il prétend représenter
Comment le HTTPS protège-t-il les données de vos visiteurs ?
Quand un visiteur se connecte à un site HTTPS, le navigateur et le serveur établissent un canal chiffré par un processus appelé la poignée de main TLS. Toutes les données échangées ensuite sont chiffrées pendant toute la durée de la session.
Ce que protège le HTTPS
- Les formulaires de contact envoyés, dont les noms, les adresses e-mail et le contenu des messages
- Les identifiants de connexion, dont les noms d'utilisateur et mots de passe saisis sur votre site
- Les informations de paiement, dont les numéros de carte et les données de facturation sur les pages de paiement
- Les recherches saisies dans les champs de recherche du site
Ce que le HTTPS ne protège pas
- HTTPS chiffre les données en transit mais ne protège pas les données une fois stockées sur le serveur. Une fuite de base de données est un autre problème de sécurité que le HTTPS n'empêche pas
- HTTPS ne rend pas un site immunisé contre les autres attaques. Les injections SQL, le cross-site scripting et les attaques par force brute visent le site lui-même plutôt que les données en transit
- HTTPS est un élément d'une posture de sécurité plus large, pas une solution complète à lui seul
Pour une vue plus large des menaces auxquelles les sites sont exposés et de la façon d'y répondre, lisez l'article sur pourquoi la sécurité d'un site web est importante.
Comment le HTTPS influence-t-il le classement dans les recherches ?
Le HTTPS est un signal de classement confirmé. Les moteurs de recherche l'utilisent comme l'un des facteurs d'évaluation des pages, et les sites sans HTTPS sont désavantagés par rapport aux pages équivalentes servies de façon sécurisée.
Le HTTPS comme signal de classement direct
- Les pages servies en HTTPS ont un avantage de classement sur des pages HTTP par ailleurs identiques
- Pour des pages en concurrence serrée, le HTTPS peut être le facteur qui décide laquelle apparaît plus haut
Le lien avec l'expérience de page
- Le HTTPS fait partie des signaux d'expérience de page que les moteurs de recherche évaluent avec les Core Web Vitals pour juger les pages
- Une page qui ne respecte pas l'exigence HTTPS ne remplit pas pleinement les critères d'expérience de page, ce qui influence son traitement par rapport aux pages qui les remplissent
- Pour le détail de ce que mesurent les Core Web Vitals et de leur place dans l'évaluation de l'expérience de page, lisez l'article sur ce que sont les Core Web Vitals
Les avertissements dans les résultats de recherche
- Si un site est signalé pour des problèmes de sécurité, les moteurs de recherche peuvent ajouter des avertissements à son affichage dans les résultats ou réduire entièrement sa visibilité
- Un site servi en HTTP qui présente aussi d'autres problèmes de sécurité peut subir des baisses de visibilité cumulées dans les recherches
La précision des données de provenance
- Quand un visiteur clique sur un lien d'un site HTTPS vers un site HTTP, la source de provenance est supprimée et la visite apparaît comme du trafic direct dans les statistiques
- Les sites en HTTP perdent des données de provenance fiables venant de sites HTTPS, ce qui rend le suivi des performances marketing plus difficile
- Les renvois de HTTPS vers HTTPS transmettent correctement toutes les informations de provenance
Que faut-il faire pour passer un site en HTTPS ?
Obtenir un certificat SSL
- HTTPS exige un certificat SSL installé sur le serveur. Pour les sites hébergés sur des plateformes qui incluent les certificats, cela se fait automatiquement
- Pour les sites sur des serveurs gérés soi-même, un certificat doit être obtenu auprès d'une autorité de certification et installé manuellement
Mettre à jour les liens internes et les références de ressources
- Après l'activation du HTTPS, tous les liens internes et références de ressources (images, scripts, feuilles de style) du site doivent pointer vers des adresses HTTPS
- Les pages qui chargent des ressources en HTTP alors que la page elle-même est servie en HTTPS déclenchent des avertissements de contenu mixte, qui peuvent annuler le bénéfice de sécurité et provoquer des avertissements dans les navigateurs
Mettre en place les redirections
- Une redirection de HTTP vers HTTPS garantit que toute personne qui arrive sur la version HTTP est envoyée automatiquement vers la version sécurisée
- Sans redirection, le site a en pratique deux versions de chaque page, ce qui crée des problèmes de contenu dupliqué et répartit les signaux de liens entre les deux
Mettre à jour votre sitemap et les réglages de la Search Console
- Après le passage au HTTPS, mettez à jour votre sitemap XML avec les adresses HTTPS et soumettez-le à nouveau aux moteurs de recherche
- Si vous utilisez un compte de console de recherche, ajoutez la version HTTPS de votre site comme propriété distincte et validez-la
Pour un guide complet sur la protection de votre site au-delà du HTTPS, lisez l'article sur comment protéger votre site web des pirates.
Comment WEMASY gère le HTTPS
Tous les sites créés avec WEMASY sont servis en HTTPS par défaut. Les certificats SSL sont inclus dans chaque offre et activés automatiquement à la création d'un site. Il n'y a pas de configuration séparée, pas de certificat à acheter et pas de renouvellement à gérer.
Les liens internes, les ressources et tout le contenu servi par la plateforme utilisent des adresses HTTPS par défaut. Les avertissements de contenu mixte ne sont pas un souci pour les sites hébergés par WEMASY, car la plateforme impose le HTTPS partout. Les redirections de HTTP vers HTTPS sont aussi gérées au niveau de la plateforme : les visiteurs et les moteurs de recherche sont toujours dirigés vers la version sécurisée du site.
Découvrez ce qui est inclus avec le créateur de site web WEMASY, ou consultez les offres sur la page des tarifs.
Questions fréquentes
Que signifie HTTPS ?
HTTPS signifie Hypertext Transfer Protocol Secure. C'est la version chiffrée de HTTP, le protocole utilisé pour transférer des données entre un navigateur et un serveur web. Le « S » indique que la connexion est sécurisée par un certificat SSL, qui chiffre les données en transit pour qu'elles ne soient pas lisibles si elles sont interceptées. Un site en HTTPS affiche un cadenas dans la barre d'adresse du navigateur. Avec le créateur de site web de WEMASY, vous pouvez le mettre en place directement sur votre site.
Le HTTPS est-il obligatoire pour tous les sites web ?
Oui. Le HTTPS est nécessaire pour tout site accessible au public, pas seulement pour ceux qui traitent des paiements ou des données sensibles. Les navigateurs affichent la mention « Non sécurisé » sur les sites HTTP, ce qui réduit la confiance des visiteurs. Le HTTPS est aussi un signal de classement confirmé : les sites HTTP sont donc désavantagés dans les résultats de recherche. Tout site qui recueille des informations de visiteurs par des formulaires, des commentaires ou des connexions doit au minimum être servi en HTTPS.
Le HTTPS améliore-t-il le SEO ?
Oui, directement. Le HTTPS est un signal de classement confirmé, et les pages servies en HTTPS ont un avantage de classement sur les pages HTTP équivalentes. Le HTTPS fait aussi partie des signaux d'expérience de page que les moteurs de recherche évaluent avec les Core Web Vitals. Au-delà du classement, le trafic de HTTPS vers HTTPS transmet toutes les données de source dans les statistiques, alors que les sites HTTP perdent l'information de provenance venant d'origines HTTPS.
Quelle est la différence entre HTTP et HTTPS ?
HTTP transmet les données en texte clair : les formulaires envoyés, les identifiants de connexion et les autres saisies circulent sur le réseau dans un format lisible. HTTPS chiffre ces données avant qu'elles quittent le navigateur, pour qu'elles ne puissent être lues que par le serveur prévu. HTTPS authentifie aussi le site grâce à un certificat SSL, qui confirme que le site est bien celui qu'il prétend être. Les navigateurs marquent les sites HTTP comme « Non sécurisé » et affichent un cadenas sur les sites HTTPS.
Un site peut-il avoir à la fois des pages HTTP et HTTPS ?
Techniquement oui, mais cela crée des problèmes. Les moteurs de recherche peuvent indexer les deux versions et les traiter comme du contenu dupliqué. Les signaux de liens sont répartis entre les deux versions au lieu d'être concentrés sur une seule. Les visiteurs peuvent se retrouver sur la version non sécurisée si les redirections ne sont pas bien configurées. Les pages qui chargent des ressources en HTTP alors que la page est servie en HTTPS déclenchent des avertissements de contenu mixte. La bonne approche est de servir toutes les pages en HTTPS et de rediriger toutes les adresses HTTP vers leurs équivalents HTTPS.
Le HTTPS protège-t-il mon site des pirates ?
Le HTTPS protège les données en transit entre le navigateur et le serveur. Il ne protège pas contre d'autres types d'attaques comme l'injection SQL, le cross-site scripting ou les tentatives de connexion par force brute, qui visent le site lui-même plutôt que les données en transit. Le HTTPS est une mesure de sécurité de base essentielle, mais il fonctionne avec d'autres protections au lieu de les remplacer.