Qu’est-ce que HTTPS et pourquoi votre site en a-t-il besoin ?

Vous avez sûrement vu ces cinq lettres au début de milliers d’adresses :

https://www.cdmon.com

Nous les ignorons généralement. Nous écrivons le domaine, la page s’ouvre et nous continuons à naviguer. Cependant, qu’une adresse commence par HTTPS signifie que les informations échangées entre le navigateur et le serveur voyagent protégées.

HTTPS chiffre les données échangées entre un site web et ses visiteurs. Pour l’utiliser, le serveur a besoin d’un certificat numérique valide.

Sans cette protection, un mot de passe, les données d’un formulaire ou les informations d’un achat pourraient être transmises sans garanties minimales de sécurité.

Il y a des années, HTTPS était presque exclusivement associé aux banques et aux boutiques en ligne. Aujourd’hui, il devrait être présent sur n’importe quel site web, d’un blog informatif à une page d’entreprise avec un simple formulaire de contact.

Que se passe-t-il lors de la visite d’un site web avec HTTPS

Lorsque vous accédez à une page, le navigateur demande au serveur différents fichiers : textes, images, styles, typographies ou scripts. Le serveur reçoit la demande et renvoie tout ce qui est nécessaire pour afficher le site web.

HTTPS protège cet échange avant que l’information ne quitte chaque extrémité.

La comparaison habituelle est celle d’une carte postale par rapport à une lettre fermée. Le contenu d’une carte postale reste visible tout au long du trajet. Une lettre, en revanche, introduit une couche de protection. HTTPS fait quelque chose de similaire avec les données qui voyagent entre votre navigateur et la page que vous visitez.

Pour établir cette communication sécurisée, le serveur présente un certificat numérique. Le navigateur vérifie qu’il appartient au bon domaine, qu’il n’a pas expiré et qu’il provient d’une autorité reconnue.

Si tout est en ordre, le navigateur et le serveur établissent une connexion chiffrée. Le processus dure à peine quelques instants et nous ne le percevons généralement même pas.

Lorsque quelque chose ne va pas, le navigateur affiche un avertissement. Cela peut se produire, par exemple, si le certificat a expiré ou s’il a été émis pour exemple.com, mais que l’utilisateur essaie d’entrer depuis www.exemple.com et que cette deuxième adresse n’est pas incluse.

Ce que protège HTTPS et ce qu’il ne protège pas

HTTPS chiffre l’information pendant le trajet pour éviter qu’elle puisse être lue directement si quelqu’un intercepte la communication. De cette manière, il protège les mots de passe, les données personnelles et les informations envoyées via des formulaires.

Il rend également plus difficile l’interception ou la modification des données. Cela est particulièrement important lorsque vous naviguez depuis des réseaux publics ou peu fiables.

Mais HTTPS a une limite très claire : il protège le trajet de l’information, pas tout le site web.

Imaginez une boutique en ligne qui utilise HTTPS, mais qui a WordPress et plusieurs plugins non mis à jour. Les données de ses clients voyageront chiffrées, bien que la page reste exposée à des vulnérabilités.

Un site web avec HTTPS peut également contenir des logiciels malveillants ou faire partie d’une campagne de phishing. Le certificat confirme que vous êtes connecté de manière sécurisée au domaine indiqué, mais ne garantit pas que la personne qui le contrôle ait de bonnes intentions.

C’est pourquoi HTTPS doit être accompagné d’autres mesures pour protéger le site web, telles que des mises à jour, des sauvegardes, des mots de passe sécurisés et une protection correcte du serveur. Le certificat est une partie de la sécurité, pas un substitut à tout le reste.

SSL et TLS : pourquoi utilisons-nous les deux noms

Bien que nous parlions souvent de “certificats SSL”, les connexions modernes utilisent TLS.

SSL était le protocole original. Avec le temps, il est devenu obsolète et a été remplacé par TLS, une technologie plus sécurisée. L’expression “certificat SSL” s’est maintenue car c’est le nom que reconnaît la majorité des utilisateurs et celui qui est couramment utilisé sur le marché.

Par conséquent, lorsque vous trouvez un hébergement avec certificat SSL, il se réfère généralement à un certificat qui permet d’établir des connexions HTTPS via TLS. Si vous souhaitez approfondir cette partie, consultez notre introduction aux certificats SSL.

Les serveurs actuels devraient fonctionner avec TLS 1.2 ou TLS 1.3. Les versions antérieures ont cessé d’offrir une protection adéquate et beaucoup ne sont plus compatibles avec les navigateurs modernes.

Que se passe-t-il si votre site utilise encore HTTP

Lorsqu’un navigateur marque un site web comme “Non sécurisé”, il ne dit pas nécessairement qu’il est frauduleux. Il avertit que les informations échangées avec cette page ne voyagent pas chiffrées.

Le risque est particulièrement important lorsque le site web demande :

• Un mot de passe.
• Des données personnelles.
• Des informations bancaires.
• L’envoi d’un formulaire.
• L’accès à une zone privée.

En plus d’exposer les données, l’avertissement du navigateur peut suffire à faire quitter une personne de la page avant de s’inscrire, de contacter ou d’acheter.

Sur un site web actuel, HTTPS ne devrait plus être considéré comme un extra. C’est la configuration minimale attendue par les utilisateurs et les navigateurs.

HTTPS aide-t-il au SEO ?

Oui, mais ne vous attendez pas à une montée en position juste en installant un certificat.

Google préfère les versions HTTPS lorsqu’il trouve des pages équivalentes et considère la sécurité comme faisant partie d’une expérience adéquate. Cependant, la qualité du contenu, sa pertinence et la réponse qu’il offre à la recherche ont beaucoup plus de poids.

Le problème SEO apparaît lorsqu’un site web maintient accessibles deux versions :

http://exemple.com

https://exemple.com

Bien que pour une personne, elles semblent être la même page, techniquement ce sont deux URL différentes. Si la configuration n’est pas bien résolue, les liens, le crawl et les signaux de positionnement peuvent être répartis entre les deux.

L’adresse HTTP doit conduire à son équivalent HTTPS via une redirection permanente. Les balises canoniques, les liens internes et le sitemap doivent également utiliser les adresses sécurisées.

Si vous allez migrer un site web existant, vous devrez revoir d’autres éléments, tels que les redirections, le contenu mixte, les liens internes, le sitemap et la configuration de Google Search Console. C’est un processus qui mérite d’être traité dans un guide spécifique sur la façon de migrer de HTTP à HTTPS.

Comment rediriger de HTTP à HTTPS

Activer le certificat ne suffit pas pour que toutes les visites utilisent la connexion sécurisée. La version HTTP doit rediriger de manière permanente, via un code 301, vers la même adresse en HTTPS.

Par exemple, http://exemple.com/contact doit mener directement à https://exemple.com/contact. Il n’est pas conseillé d’envoyer toutes les anciennes pages à la page d’accueil, car cela perdrait la correspondance entre les URL.

La façon de le faire dépend de la façon dont le site web est construit. Dans WordPress, PrestaShop, Joomla ou Moodle, cela peut être configuré depuis le CMS lui-même ou avec les options recommandées pour chaque plateforme. Sur un site web avec programmation propre, cela peut également être forcé depuis le fichier .htaccess.

Consultez comment configurer le certificat SSL selon votre CMS. Avant de modifier .htaccess ou d’installer un plugin, faites une sauvegarde et évitez d’activer plusieurs redirections à la fois, car elles pourraient provoquer une boucle.

Quel certificat votre projet a-t-il besoin

Un site web qui utilise un seul domaine n’a généralement pas besoin de payer pour un certificat wildcard ou multidomaine.

Pour la plupart des blogs, portfolios et pages d’entreprise, un certificat avec validation de domaine est suffisant. Ce type de certificat vérifie que celui qui le demande contrôle le domaine.

Le choix change lorsque le projet utilise plusieurs sous-domaines. Un certificat wildcard peut couvrir des adresses comme :

• blog.exemple.com
• boutique.exemple.com
• clients.exemple.com

Si vous devez protéger des domaines complètement différents, un certificat multidomaine peut être plus approprié.

Il existe également des certificats qui ajoutent des vérifications sur l’organisation du demandeur. Leur utilité dépend des besoins légaux, techniques et commerciaux du projet, pas du fait qu’ils fournissent nécessairement un chiffrement plus fort pour un site web conventionnel.

Chez cdmon, vous pouvez consulter et gérer les certificats depuis la section Sécurité → Certificats SSL de l’hébergement. Le panneau affiche le certificat installé pour le domaine principal et permet de vérifier les sous-domaines ou alias associés. Vous pouvez également choisir entre le certificat gratuit de Let’s Encrypt et d’autres modalités de certificats SSL.

Comment vérifier que HTTPS fonctionne correctement

Que la page d’accueil charge via HTTPS ne prouve pas que tout le site soit bien configuré.

Faites une vérification rapide :

• Écrivez l’adresse en commençant par http://.
• Confirmez qu’elle se termine à la même adresse avec HTTPS.
• Ouvrez plusieurs pages intérieures.
• Vérifiez un formulaire ou une zone privée.
• Assurez-vous qu’il ne manque pas d’images, de styles ou de typographies.
• Consultez les informations du certificat depuis le navigateur.

L’un des problèmes que nous rencontrons le plus souvent après avoir activé HTTPS n’est pas dans le certificat. Parfois, c’est une image ancienne, un modèle ou une extension qui essaie encore de charger une ressource via HTTP.

La page d’accueil peut utiliser HTTPS correctement, mais cet unique élément peut provoquer un avertissement ou faire que la page ne soit pas considérée comme complètement sécurisée.

Cela est connu sous le nom de contenu mixte : la page principale s’ouvre via HTTPS, mais demande une image, une police, une feuille de style ou un script via HTTP. Les navigateurs peuvent avertir du problème ou bloquer les ressources actives, comme les scripts et les feuilles de style.

Pour le localiser, ouvrez les outils de développement du navigateur et vérifiez les onglets Console et Réseau. Recherchez les requêtes qui commencent par http://. Ensuite, corrigez l’URL dans le contenu, le modèle, le plugin ou la base de données qui la génère ; il ne suffit pas de masquer l’avertissement.

Vous pouvez également vérifier l’installation et la validité du certificat avec SSL Shopper et rechercher des ressources non sécurisées avec Why No Padlock. Il est conseillé de vérifier plusieurs pages, pas seulement la page d’accueil, car le contenu mixte peut apparaître uniquement dans une entrée, un formulaire ou une section spécifique.

Vous devez également vérifier que le certificat inclut toutes les adresses utilisées. Si un site web fonctionne avec et sans www, les deux variantes doivent être couvertes. Il en va de même pour les sous-domaines.

Si une erreur comme ERR_SSL_PROTOCOL_ERROR apparaît, un avertissement lié au certificat ou une boucle de redirections, il n’est pas conseillé d’ajouter des règles au hasard. L’origine peut être sur le serveur, le CMS, un plugin, un CDN ou dans la propre couverture du certificat.

Avant de le considérer terminé

HTTPS protège la communication entre votre site web et ses visiteurs. Il n’élimine pas toutes les menaces, mais empêche les données de voyager sans chiffrement et permet de vérifier que le navigateur se connecte au domaine indiqué.

Avant de considérer la configuration terminée, vérifiez trois choses :

• Les adresses HTTP mènent à leur équivalent HTTPS.
• Le site web ne charge pas d’images ni d’autres fichiers via HTTP.
• Le certificat couvre tous les domaines et sous-domaines utilisés.

Dans les plans d’hébergement de cdmon, vous pouvez demander, activer et gérer le certificat SSL depuis le panneau de contrôle. Si quelque chose ne va pas, d’un certificat qui ne couvre pas un sous-domaine à un site web qui entre dans une boucle de redirections, vous pouvez consulter nos guides ou contacter l’équipe de support 24/7.