Certificat SSL : qu’est-ce que c’est et est-il nécessaire ?

Que fait réellement un certificat SSL ?

SSL est un certificat qui permet au site de prouver au navigateur qu’il contrôle un domaine donné. Lorsque le certificat est valide, la connexion est établie via HTTPS et les données échangées entre le navigateur et le serveur sont chiffrées.

Cela a son importance pour un formulaire de contact, la connexion à un compte client, une commande en ligne, un paiement, l’envoi de documents et toute autre opération impliquant la transmission d’informations. Le chiffrement rend plus difficiles l’interception et la modification des données entre le client et le serveur.

Lorsqu’un site est ouvert, le navigateur et le serveur procèdent à un bref échange de clés. Le navigateur vérifie ensuite le certificat, le domaine et sa période de validité, puis affiche le site via HTTPS. Pour le visiteur, cela se traduit par une adresse commençant par https://, une icône de connexion sécurisée ou des informations sur le certificat.

SSL ne protège pas l’ensemble du site contre toutes les menaces. Il n’empêche ni un accès protégé par un mot de passe faible, ni un plugin infecté, ni une fausse offre, ni une intrusion sur le serveur lui-même. Pour cela, il faut des mises à jour, des sauvegardes, un contrôle des accès et une surveillance.

Le certificat SSL est-il obligatoire pour tous les sites ?

Pour un site vitrine professionnel public, une boutique en ligne et un système avec connexion, la réponse est oui. Un site sans HTTPS peut s’ouvrir, mais il donne désormais l’impression d’un problème plutôt que d’un choix technique normal.

Les navigateurs signalent les pages HTTP comme « non sécurisées », en particulier lorsqu’elles contiennent un formulaire de saisie de données. Cela peut dissuader quelqu’un d’envoyer une demande, de se connecter à son compte ou de finaliser une commande.

Google utilise HTTPS comme signal de classement. Cela ne signifie pas qu’un certificat SSL propulsera le site dans les résultats. Cela signifie qu’un site sans HTTPS part avec un désavantage technique par rapport à un site comparable correctement configuré.

HTTPS est également nécessaire pour de nombreuses fonctionnalités modernes des navigateurs, comme certains types de notifications, l’accès à l’appareil et le fonctionnement des applications web progressives. Les prestataires de paiement et de services externes attendent eux aussi une connexion sécurisée, même si leurs exigences précises dépendent de l’intégration.

Précision importante : le RGPD ne dit pas simplement « achetez un certificat SSL ». L’organisation doit mettre en place des mesures techniques et organisationnelles appropriées au niveau de risque. HTTPS est une mesure de base pour protéger les données lors de leur transmission, mais il ne remplace pas les autres exigences.

De quel type de certificat SSL avez-vous besoin ?

Dans la plupart des cas, le certificat le plus cher n’est pas nécessaire. Le choix dépend des domaines, des sous-domaines et de la manière dont vous gérez l’hébergement, et non de la taille du logo ou du nombre de pages.

Le prix varie selon l’autorité de certification, le nombre de domaines, les sous-domaines, la durée de validité, le mode de gestion et le fait que l’hébergeur inclue ou non le certificat dans l’abonnement. EV n’affiche plus de barre verte spécifique dans la plupart des navigateurs ; il ne faut donc pas l’acheter uniquement pour son effet visuel.

Le SSL gratuit est-il suffisant ?

Oui, pour une grande partie des sites. Let's Encrypt délivre des certificats DV gratuits, et de nombreux hébergeurs les installent et les renouvellent automatiquement. Pour le visiteur, un certificat DV gratuit correctement configuré assure le même chiffrement de base qu’un certificat DV payant.

La différence réside généralement dans la gestion, la maintenance et les fonctionnalités supplémentaires, et non dans la présence du cadenas elle-même. Un certificat payant peut être pertinent en cas d’exigences spécifiques liées à l’organisation, de nombreux domaines ou de gestion centralisée dans une infrastructure de grande taille.

Cloudflare peut également fournir le TLS entre le visiteur et son réseau. Cela ne signifie toutefois pas automatiquement que la connexion entre Cloudflare et votre serveur est correctement sécurisée. Il faut choisir le mode approprié et disposer d’un certificat valide sur le serveur lorsque la configuration l’exige.

Comment configurer HTTPS sans casser le site ?

1. 01
   Vérification du domaine et de l’hébergement

   Déterminez où pointe le DNS, qui gère le serveur et si un certificat a déjà été délivré. Vérifiez également tous les sous-domaines utilisés, par exemple www, shop, app et l’adresse d’administration.

2. 02
   Délivrance et installation du certificat

   Choisissez un certificat DV automatique ou un autre type selon le besoin réel. Installez le certificat pour les domaines concernés ainsi que les certificats intermédiaires si l’autorité de certification l’exige.

3. 03
   Redirection vers HTTPS

   Configurez une redirection permanente de HTTP vers HTTPS au niveau du serveur. Vérifiez séparément les versions avec et sans www et choisissez une adresse principale. La redirection doit conserver le chemin vers la page au lieu de tout renvoyer vers la page d’accueil.

4. 04
   Suppression du contenu mixte

   Remplacez les adresses des images, fichiers CSS, fichiers JavaScript, polices, vidéos et ressources externes de http:// par https://. Une seule ressource obsolète peut amener le navigateur à bloquer un script ou à afficher un avertissement.

5. 05
   Vérification des formulaires, paiements et intégrations

   Envoyez une requête de test, passez une commande test et vérifiez les connexions API, les cartes, le chat, le suivi et les scripts publicitaires. Pour une boutique en ligne, vérifiez également le retour depuis le prestataire de paiement, le paiement à la livraison et les lettres de voiture.

6. 06
   Renouvellement automatique et surveillance

   Configurez une alerte en cas de problème et vérifiez la date d’expiration. Pour un certificat automatique, surveillez également le processus lui-même : ne partez pas du principe que « automatique » signifie « impossible à interrompre ».

Quelles sont les erreurs les plus fréquentes ?

Le certificat a été délivré pour la mauvaise adresse

Le site peut fonctionner sur example.bg tout en affichant un avertissement sur www.example.bg si cette seconde adresse n’est pas incluse dans le certificat. Le même problème peut survenir avec un sous-domaine oublié, un environnement de test ou une adresse distincte pour le panneau d’administration.

Les versions HTTP et HTTPS existent simultanément

En l’absence de redirection correcte, les moteurs de recherche et les visiteurs peuvent accéder à deux versions d’une même page. Cela crée du contenu dupliqué, brouille les adresses canoniques et permet à une partie du site de rester non protégée.

Le contenu mixte bloque certaines fonctionnalités

Une page en HTTPS peut charger une ancienne image, un script ou une adresse API en HTTP. Les navigateurs modernes bloquent souvent le contenu mixte actif ; le menu, le formulaire, le paiement ou le suivi peuvent donc cesser de fonctionner soudainement.

Le certificat expire

Un certificat expiré affiche un avertissement important et compromet pratiquement la confiance accordée au site. Cela peut arriver en cas de renouvellement manuel, de modification du DNS, de droits manquants ou d’arrêt du processus automatique.

Le SSL est considéré comme un substitut à la sécurité

HTTPS ne corrige pas un plugin WordPress obsolète, un mot de passe faible ou un formulaire vulnérable. Des mises à jour, un accès restreint, des sauvegardes et une surveillance sont nécessaires. Pour un site créé par un autre prestataire, effectuez d’abord un audit technique avant de modifier les paramètres du serveur.

Qui doit assurer la maintenance du certificat SSL ?

Si le site est hébergé sur une solution d’hébergement infogérée, le prestataire peut généralement prendre en charge la délivrance, l’installation et le renouvellement. Il est important que cela soit clairement défini : qui reçoit les alertes, qui intervient en cas d’erreur et si une vérification est prévue après le renouvellement.

Sur un serveur autonome, une infrastructure atypique ou plusieurs systèmes interconnectés, la responsabilité est plus importante. Le certificat doit être adapté au proxy inverse, au CDN, aux conteneurs, aux adresses API, à l’environnement de test et aux systèmes de paiement.

La maintenance ne consiste pas seulement à installer le certificat une fois. Elle comprend les sauvegardes, les mises à jour, le suivi des dates d’expiration et la vérification que les modifications apportées au site n’ont pas réintroduit une ressource HTTP. Si vous avez besoin d’un tel processus, découvrez ce que comprend la maintenance d’un site.

Pour un nouveau site d’entreprise, HTTPS doit faire partie de ses fondations techniques, au même titre que la version mobile, les formulaires, les paramètres SEO et les sauvegardes. Pour une boutique en ligne, la vérification doit couvrir tout le parcours, du produit au paiement et à la notification de commande — cela fait partie de la bonne création d’une boutique en ligne.

Que pouvez-vous vérifier vous-même en cinq minutes ?

• Ouvrez le site avec https:// et vérifiez que le navigateur n’affiche aucun avertissement.
• Testez l’adresse avec www et sans www.
• Ouvrez une page interne importante, le formulaire de contact et la page de commande.
• Vérifiez qu’aucune image, aucun script ni aucune police ne sont bloqués via HTTP.
• Vérifiez la date d’expiration et la présence d’un renouvellement automatique.
• Vérifiez que l’adresse HTTP redirige vers la bonne page HTTPS.
• Pour un site avec paiement, effectuez une transaction test ou un contrôle dans un environnement de test.

Questions fréquentes

Le certificat SSL a-t-il un impact important sur le SEO ? HTTPS est un signal technique confirmé, mais il ne compense pas à lui seul un contenu faible, un site lent ou une mauvaise structure. Son intérêt est de supprimer une lacune de base et de fournir une fondation sécurisée au reste de l’optimisation SEO.

Une boutique en ligne peut-elle fonctionner sans SSL ? Techniquement, certaines pages peuvent se charger, mais il s’agit d’une configuration mauvaise et risquée. Les formulaires, les comptes, les paiements et la confiance des clients exigent HTTPS sur l’ensemble de la boutique.

Dois-je acheter un certificat SSL payant ? Pas nécessairement. Un certificat DV gratuit suffit pour de nombreux sites d’entreprise et boutiques, s’il est correctement installé et renouvelé ; un certificat payant se justifie lorsqu’une exigence précise concerne la validation, la gestion ou l’infrastructure.

Que faire si le certificat a expiré ? Ne supprimez pas des certificats au hasard et ne modifiez pas le DNS sans vérification. Identifiez le responsable de l’hébergement, émettez un nouveau certificat, vérifiez les certificats intermédiaires et testez tous les domaines et intégrations après le renouvellement.