SSL et HTTPS : assurez la sécurité de votre site et de vos visiteurs

La sécurité en ligne est devenue un prérequis pour toute entreprise qui accueille des visiteurs sur son site. Un formulaire de contact, un espace client ou une boutique en ligne transmettent des informations personnelles : nom, adresse, téléphone, parfois données de paiement. Ces échanges doivent être protégés.

C’est le rôle du HTTPS et du certificat qui l’accompagne, souvent appelé « certificat SSL ». Cet article explique ce qu’ils protègent réellement, ce qu’ils ne garantissent pas, et comment les mettre en place sans erreur.

SSL, TLS, HTTPS : de quoi parle-t-on ?

• HTTPS est la version sécurisée du protocole qui permet d’afficher les pages web. L’adresse commence par https://.
• Le certificat est le fichier installé sur le serveur qui permet au navigateur de vérifier qu’il parle bien à votre site, puis d’établir une connexion chiffrée.
• SSL est le nom historique de la technologie de chiffrement. Elle a été remplacée depuis longtemps par TLS, mais l’expression « certificat SSL » est restée dans le langage courant.

Concrètement, le HTTPS empêche un tiers (sur un wifi public, par exemple) de lire ou de modifier les informations échangées entre le visiteur et votre site.

Ce que le HTTPS garantit, et ce qu’il ne garantit pas

Le HTTPS garantit que la connexion est chiffrée et que le visiteur communique bien avec le domaine affiché. Il ne garantit pas que le site est honnête ou bien sécurisé par ailleurs.

C’est précisément pour cette raison que Google a fait évoluer l’affichage de Chrome. Dans son annonce sur l’icône du cadenas, l’équipe sécurité de Chrome explique que seuls 11 % des participants à une étude de 2021 comprenaient correctement la signification du cadenas, et que presque tous les sites d’hameçonnage utilisent eux aussi le HTTPS. Depuis Chrome 117 (septembre 2023), le cadenas a donc été remplacé dans la barre d’adresse par une icône neutre de réglages : le HTTPS est considéré comme la norme, et ce sont les sites non sécurisés qui sont signalés.

Le fameux « cadenas vert » des anciens navigateurs n’existe donc plus, et il ne faut pas présenter le HTTPS à vos clients comme un label de confiance. C’est un socle, à compléter par les autres mesures de notre guide contre les cyberattaques courantes.

Pourquoi le HTTPS est indispensable

Protéger les données de vos visiteurs

Sans HTTPS, tout ce qu’un visiteur saisit sur votre site circule en clair. Le RGPD impose de sécuriser les données personnelles collectées, et la CNIL recommande que l’ensemble du parcours de vente soit en HTTPS (voir notre article sur la conformité RGPD).

Éviter les avertissements des navigateurs

Chrome marque depuis longtemps les sites HTTP comme « non sécurisés ». Il va désormais plus loin : selon le blog sécurité de Google, Chrome 154, prévu pour octobre 2026, active par défaut l’option « Toujours utiliser des connexions sécurisées ». Avant d’ouvrir un site public sans HTTPS, le navigateur affiche un avertissement indiquant que le site ne prend pas en charge de connexion sécurisée et que des personnes malveillantes pourraient voir ou modifier les informations échangées. Pour une entreprise, c’est un message dissuasif dès la première visite.

Un signal de référencement, modeste mais réel

Google a annoncé en 2014 qu’il utilisait le HTTPS comme signal de classement, en précisant qu’il s’agissait d’un signal léger, qui touchait alors moins de 1 % des requêtes. Le HTTPS fait aussi partie des éléments cités par Google dans sa page « Comprendre l’expérience sur la page ». Ne vous attendez pas à gagner des places grâce au seul HTTPS, mais son absence est un handicap.

Débloquer des fonctionnalités modernes

Selon MDN, de nombreuses fonctionnalités des navigateurs sont réservées aux pages servies en HTTPS : géolocalisation, notifications, messages push ou service workers, indispensables aux applications web progressives.

Quel certificat choisir ?

Il existe trois niveaux de validation :

• Validation de domaine (DV) : l’autorité vérifie seulement que vous contrôlez le domaine. C’est le type proposé gratuitement par Let’s Encrypt et par la plupart des hébergeurs.
• Validation d’organisation (OV) : l’autorité vérifie aussi l’existence de l’entreprise.
• Validation étendue (EV) : vérification plus poussée de l’organisation.

Pendant longtemps, les certificats EV étaient vendus comme un gage de confiance parce que les navigateurs affichaient le nom de l’entreprise en vert dans la barre d’adresse. Ce n’est plus le cas : d’après la documentation de Chromium, Chrome a retiré cet indicateur de la barre d’adresse à partir de la version 77 (2019), et l’information n’est plus visible que dans le panneau d’informations du site, que presque personne n’ouvre.

Pour une TPE, un certificat DV gratuit offre exactement le même niveau de chiffrement qu’un certificat payant. Les certificats OV ou EV n’ont d’intérêt que si un partenaire, un appel d’offres ou une obligation sectorielle les exige.

Installer et renouveler son certificat

Le renouvellement automatique est devenu indispensable

Les certificats ont une durée de validité limitée, et celle-ci raccourcit. Le CA/Browser Forum, qui réunit les autorités de certification et les éditeurs de navigateurs (Apple, Google, Microsoft, Mozilla), a adopté en 2025 un calendrier de réduction progressive : la durée maximale passera de 398 jours à 47 jours d’ici 2029, par étapes à partir de mars 2026. Let’s Encrypt, de son côté, prévoit de passer de 90 à 45 jours d’ici 2028.

Conséquence : un renouvellement manuel n’est plus tenable. Vérifiez que votre hébergeur renouvelle automatiquement le certificat, et qu’une alerte vous prévient en cas d’échec. Un certificat expiré affiche une page d’erreur plein écran qui bloque l’accès à votre site.

Les étapes d’une migration vers HTTPS

1. Activer le certificat depuis l’interface de votre hébergeur (souvent un simple bouton pour Let’s Encrypt).
2. Rediriger tout le trafic HTTP vers HTTPS avec une redirection permanente (code 301), pour les visiteurs comme pour les moteurs de recherche.
3. Corriger le « contenu mixte » : images, scripts ou polices encore appelés en http:// dans les pages, qui déclenchent des alertes ou sont bloqués par le navigateur.
4. Mettre à jour les liens internes et l’adresse du site dans le CMS.
5. Déclarer la version HTTPS dans Google Search Console et vérifier le rapport HTTPS.
6. Activer HSTS une fois que tout fonctionne : cet en-tête indique au navigateur de toujours utiliser HTTPS pour votre domaine.

Avec une offre d’hébergement et maintenance, le suivi du certificat et de ces réglages peut être pris en charge pour vous.

Les erreurs fréquentes

• Un certificat qui ne couvre pas toutes les adresses : www.votresite.fr sécurisé, mais pas votresite.fr, ou l’inverse.
• Des redirections en chaîne (HTTP → HTTPS → www → page) qui ralentissent le chargement.
• Un renouvellement manuel oublié et le site inaccessible pendant un week-end.
• Payer un certificat EV en pensant améliorer la confiance des visiteurs, alors que l’indicateur n’est plus visible.
• Croire que le HTTPS suffit : sans mises à jour, mots de passe solides et sauvegardes, un site HTTPS peut tout à fait être piraté.

Pour vérifier où en est votre site, vous pouvez lancer un audit gratuit de votre site.

Questions fréquentes