HTTPS et certificat SSL : ce que le cadenas garantit, et ce qu'il ne garantit pas

Le cadenas de la barre d’adresse garantit exactement deux choses : la connexion est chiffrée, et vous êtes bien sur le nom de domaine affiché. Il ne dit rien de l’honnêteté du site, ni de la qualité de l’entreprise derrière. Confondre les deux est le malentendu le plus répandu du web, et il coûte de l’argent aux deux bouts : à ceux qui font confiance à tort, et à ceux qui paient pour un service qu’ils ont déjà gratuitement.

Ce que le cadenas garantit, et ce qu’il ne garantit pas

Quelques mots d’abord. HTTPS est la version sécurisée du protocole qui transporte les pages web. SSL — aujourd’hui remplacé par TLS, mais tout le monde continue de dire SSL — est le mécanisme de chiffrement qui la rend possible. Le certificat est le fichier installé sur votre serveur, délivré par une autorité de certification, un organisme tiers dont les navigateurs acceptent la signature.

Ce dispositif apporte deux garanties, et il faut les nommer précisément.

Le chiffrement du transport. Ce qui circule entre le navigateur du visiteur et votre serveur est illisible pour quiconque se trouve sur le trajet — le gestionnaire du wifi du café, l’opérateur du réseau, un intermédiaire mal intentionné. Sans HTTPS, un formulaire de contact voyage en clair et peut être lu, mais aussi modifié au passage.

Le contrôle du nom de domaine. Avant d’émettre le certificat, l’autorité vérifie que le demandeur contrôle bien le domaine — généralement en lui demandant de déposer un fichier ou un enregistrement DNS que seul le propriétaire peut placer. Le cadenas atteste donc que vous parlez au vrai boulangerie-durand.fr, et pas à un serveur qui se fait passer pour lui.

Voilà tout. En particulier, le cadenas ne dit rien du sérieux du site. C’est le contresens le plus courant, et il est massif : beaucoup d’internautes lisent « site sécurisé » comme « site de confiance ». Or n’importe qui obtient un certificat gratuit en cinq minutes pour n’importe quel domaine dont il a le contrôle, y compris un site de contrefaçon ou une page de hameçonnage. La quasi-totalité des sites frauduleux affichent aujourd’hui un cadenas parfaitement valide.

Ce qui vous distingue d’un site douteux, ce n’est pas le certificat. Ce sont des mentions légales complètes et une politique de confidentialité honnête, une adresse, un numéro d’identification, un vrai téléphone.

Ce que coûte l’avertissement du navigateur

Depuis plusieurs années, les navigateurs ont inversé la logique d’affichage. Le HTTPS n’est plus signalé comme un bonus : c’est le HTTP qui est signalé comme un défaut. Une page servie en HTTP affiche la mention « Non sécurisé » à gauche de l’adresse, sur fond neutre, en toutes lettres.

L’effet sur un commerce local est direct. Le visiteur ne lit pas un message technique, il lit un jugement, et il l’attribue à l’entreprise. Sur un site de plombier ou de restaurant, la mention arrive avant le premier mot de la page d’accueil, dans le regard de quelqu’un qui hésitait déjà entre trois résultats de recherche.

Le raisonnement « je ne vends rien en ligne, je n’ai rien à protéger » est donc doublement faux. D’abord parce que l’avertissement s’affiche indépendamment de ce que vous collectez. Ensuite parce qu’une page non chiffrée peut être modifiée en transit : sur un réseau public, du contenu peut être injecté dans votre site sans que vous en sachiez rien.

Gratuit ou payant : pourquoi le gratuit suffit

	Certificat gratuit	Certificat payant courant
Chiffrement	Identique	Identique
Accepté par les navigateurs	Oui	Oui
Vérification	Contrôle du domaine	Domaine, parfois entreprise
Durée	90 jours, renouvelé automatiquement	1 an, renouvellement manuel ou facturé
Prix constaté	0 €	30 à 300 € par an
Différence visible par le visiteur	Aucune	Aucune

La ligne qui compte est la dernière. Depuis que les navigateurs ont cessé d’afficher différemment les certificats à validation étendue — la fameuse barre verte avec le nom de la société —, le visiteur ne peut plus distinguer un certificat gratuit d’un certificat à 300 €. Le cadenas est le même.

L’autorité gratuite la plus utilisée délivre des certificats valables 90 jours, renouvelés automatiquement par le serveur. Cette durée courte n’est pas une limitation au rabais : c’est un choix de sécurité, qui suppose en contrepartie que l’automatisation fonctionne. Presque tous les hébergeurs français grand public l’intègrent aujourd’hui en une case à cocher dans leur panneau d’administration.

Quand le payant se justifie-t-il ? Dans trois cas, tous minoritaires pour une TPE : quand une vérification d’identité d’entreprise est exigée par un partenaire ou un donneur d’ordre ; quand il faut un certificat couvrant un grand nombre de sous-domaines avec une gestion centralisée ; quand l’entreprise a besoin d’un support contractuel avec engagement de délai. Pour un site vitrine, une boutique de quelques dizaines de produits ou un site de prise de rendez-vous, le gratuit est le bon choix, et payer 200 € par an revient à acheter un logo invisible.

Le renouvellement automatique, et la panne du certificat expiré

Voici la panne la plus fréquente, et la plus évitable.

Un certificat gratuit se renouvelle tout seul, tous les deux à trois mois, par un échange automatisé entre votre serveur et l’autorité. Tant que la mécanique tourne, personne n’y pense — et c’est précisément le problème : on ne remarque son arrêt qu’au moment de l’expiration.

Trois causes reviennent. Un changement d’hébergement ou de serveur sans reprise de la configuration de renouvellement. Une modification des DNS du domaine, qui empêche l’autorité de vérifier que vous le contrôlez toujours. Ou une mise à jour du serveur qui a désactivé la tâche planifiée. Rien de tout cela ne produit d’alerte visible avant le jour J.

Le jour J, le navigateur n’affiche plus votre site : il affiche un écran d’avertissement pleine page, qu’il faut cliquer pour dépasser, et que la quasi-totalité des visiteurs ne dépasse pas. Votre site est hors service, et les moteurs de recherche le constatent aussi.

Deux réflexes suffisent à s’en prémunir :

• Vérifier la date d’expiration une fois par trimestre. Elle s’affiche en cliquant sur le cadenas, dans les détails du certificat. Notez-la dans votre agenda avec un rappel.
• Renseigner une adresse de contact valide chez l’autorité ou chez l’hébergeur : la plupart préviennent par courriel avant l’expiration, encore faut-il que l’adresse soit lue.

C’est le même type de maintenance discrète que les mises à jour d’un site WordPress : invisible tant qu’elle est faite, spectaculaire quand elle ne l’est plus.

Après la bascule : les trois erreurs classiques

Activer le certificat ne suffit pas. Le passage de HTTP à HTTPS déplace toutes les adresses de votre site, et trois choses cassent régulièrement.

Le contenu mixte. La page est bien servie en HTTPS, mais elle appelle encore des images, des polices ou des scripts en HTTP. Le navigateur bloque les éléments actifs et fait disparaître le cadenas ou l’accompagne d’un avertissement. Symptôme typique : un site qui « marche » mais dont le logo ou la carte du contact a disparu. Repérez-les en ouvrant la console du navigateur, qui liste les ressources bloquées.

La redirection manquante. Sans redirection permanente de l’ancienne adresse vers la nouvelle, votre site existe en double : une version en HTTP et une version en HTTPS, avec le même contenu. Les visiteurs qui ont gardé un favori atterrissent sur la version non sécurisée, et les moteurs voient deux sites identiques. Une redirection permanente, de toutes les pages en HTTP vers leur équivalent en HTTPS, se met en place en une ligne de configuration chez la plupart des hébergeurs — c’est le genre de réglage qui se traite au même endroit que la configuration du domaine et de l’hébergement.

Les liens écrits en dur. Les adresses complètes tapées à la main dans le contenu des pages — un lien vers votre propre page tarifs, une image insérée avec son adresse absolue — restent en HTTP après la bascule. Sur un site de quinze pages, une relecture manuelle suffit. Au-delà, un remplacement en base de données est nécessaire, et se fait après sauvegarde, jamais avant.

Le lien avec le référencement

Il faut désamorcer une promesse commerciale courante : passer en HTTPS ne fait pas monter un site dans les résultats.

Google a annoncé en 2014 en tenir compte comme critère de classement, en précisant lui-même qu’il pesait très peu face à la pertinence du contenu. Un site médiocre en HTTPS reste un site médiocre. Douze ans plus tard, le HTTPS est devenu la norme : ne pas l’avoir est un défaut, l’avoir n’est pas un avantage.

L’effet réel est indirect, et il est plus fort que le critère lui-même. Un visiteur qui voit « Non sécurisé » repart vers le résultat suivant, et ce comportement dégrade la performance de la page. Une redirection mal faite disperse les signaux entre deux versions du même site. À l’inverse, le HTTPS est un prérequis technique de plusieurs mécanismes qui, eux, améliorent le confort de navigation, notamment du côté de la vitesse de chargement des pages.

Le bon résumé tient en une phrase : le HTTPS ne vous fera pas gagner des places, mais son absence vous en fait perdre — et son expiration vous fait disparaître.