Certificat SSL : à quoi il sert et comment sécuriser son site

Qu’est-ce qu’un certificat SSL ?

Un certificat SSL est un petit fichier installé sur le serveur qui héberge votre site. Il remplit deux rôles. Il chiffre les données échangées entre le navigateur du visiteur et le site, pour qu’un mot de passe, un numéro de téléphone ou un message envoyé par formulaire ne puissent pas être lus en chemin. Et il authentifie le site : une autorité de certification reconnue atteste que le certificat a bien été délivré pour ce nom de domaine.

Quand le certificat est en place, l’adresse du site commence par https au lieu de http, et le navigateur affiche un cadenas ou une icône de réglages à gauche de l’adresse. Le nom « SSL » est resté dans l’usage, mais le protocole utilisé aujourd’hui s’appelle TLS, son successeur : un « certificat SSL » vendu par un hébergeur est en réalité un certificat SSL/TLS.

Le certificat fonctionne avec les deux autres briques d’un site en ligne : le nom de domaine, l’adresse que tapent vos visiteurs, et l’hébergement, le serveur où sont stockés les fichiers du site.

Pourquoi un site sans https pose problème

• La mention « Non sécurisé ». Depuis 2018, Google Chrome affiche « Non sécurisé » devant toutes les pages chargées en http, et les autres navigateurs ont suivi. Pour un visiteur qui découvre votre entreprise, c’est un signal de méfiance immédiat.
• Des formulaires qui font fuir. Un navigateur peut avertir l’utilisateur au moment de saisir des informations sur une page non sécurisée. C’est exactement l’endroit où vous voulez qu’il vous écrive.
• Le référencement. Google a annoncé dès 2014 que le https était pris en compte dans son classement. C’est un critère léger, qui ne remplace pas le contenu, mais une page en https part avec un handicap de moins.
• Le commerce en ligne. Sur un site e-commerce, le https est indispensable : les solutions de paiement en ligne l’exigent, et aucun client n’entre sa carte bancaire sur une page signalée comme non sécurisée.

Les 3 types de certificats SSL

Tous les certificats offrent le même niveau de chiffrement. Ce qui change, c’est le niveau de vérification de l’identité du propriétaire du site.

Il existe aussi des certificats multi-domaines, qui couvrent plusieurs adresses différentes, et des certificats wildcard, qui couvrent tous les sous-domaines d’un domaine (par exemple boutique.votresite.ma et blog.votresite.ma). Vérifiez que le certificat couvre à la fois la version avec et sans « www » de votre adresse.

Combien coûte un certificat SSL ?

Pour la plupart des sites, rien. Let’s Encrypt, une autorité de certification à but non lucratif, délivre gratuitement des certificats DV reconnus par tous les navigateurs. La plupart des hébergeurs les activent en un clic et les renouvellent automatiquement. Avant de payer un certificat, regardez s’il n’est pas déjà inclus dans votre offre d’hébergement.

Un certificat payant se justifie surtout si vous avez besoin d’une validation OV ou EV, d’une garantie financière proposée par l’autorité de certification, ou d’un support dédié. Un certificat payant de type DV n’apporte pas de chiffrement plus fort qu’un certificat gratuit.

Durée de validité et renouvellement

Un certificat SSL a une date d’expiration. Les certificats Let’s Encrypt durent 90 jours et sont pensés pour être renouvelés automatiquement. Pour les certificats publics en général, l’organisme qui fixe les règles du secteur (le CA/Browser Forum) a décidé en 2025 de raccourcir progressivement la durée maximale, de 398 jours à 47 jours d’ici 2029. Conséquence pratique : le renouvellement manuel devient intenable, il doit être automatique.

Un certificat expiré est pire qu’une absence de certificat : le navigateur affiche une page d’alerte plein écran qui bloque l’accès au site. Le suivi des dates de renouvellement fait partie de toute bonne maintenance de site web.

Comment installer un certificat SSL et passer en https

1. Activer le certificat chez l’hébergeur. Dans l’espace client, rubrique SSL ou sécurité, activez le certificat gratuit pour le domaine, avec et sans « www ». Comptez de quelques minutes à quelques heures.
2. Forcer le https. Mettez en place une redirection permanente (301) de toutes les adresses en http vers leur équivalent en https, page par page, et non vers la page d’accueil.
3. Mettre à jour l’adresse du site. Dans WordPress, réglez l’adresse du site et de l’administration en https, puis remplacez les liens internes et les images qui pointent encore vers http.
4. Supprimer le contenu mixte. Une page en https qui charge une image, un script ou une police en http perd son cadenas. Ouvrez la console du navigateur (clic droit, « Inspecter ») : les éléments en cause y sont signalés.
5. Prévenir Google. Vérifiez dans Google Search Console que le site est suivi en https, envoyez le plan du site à jour et surveillez le rapport d’indexation pendant les semaines suivantes.

Bien faite, la migration ne fait pas perdre de positions. Mal faite (redirections vers l’accueil, chaînes de redirections, contenu mixte), elle peut en coûter. Ces points sont aussi contrôlés lors d’un audit SEO, et les redirections inutiles ralentissent le site, comme nous l’expliquons dans notre guide sur la vitesse d’un site web.

Les erreurs fréquentes

• Laisser le certificat expirer parce que le renouvellement dépendait d’une carte bancaire ou d’un ancien prestataire.
• Un certificat qui ne couvre qu’une version de l’adresse (avec ou sans « www »), ce qui provoque une alerte pour une partie des visiteurs.
• Le site accessible à la fois en http et en https, sans redirection : deux versions de chaque page coexistent pour Google.
• Payer un certificat « premium » pour un simple site vitrine, alors qu’un certificat gratuit offre le même chiffrement.
• Croire que le cadenas protège tout. Le certificat sécurise la connexion, pas le site lui-même : mises à jour, mots de passe solides et sauvegardes restent indispensables.

Chez Disruptia, chaque site livré dans le cadre de notre offre de création de site web est mis en ligne en https, avec redirections, renouvellement automatique et contrôle du contenu mixte. Vous reprenez un ancien site encore en http, ou vous préparez une refonte ? Contactez-nous avec son adresse.

Questions fréquentes