Ce que sont HTTPS et SSL
HTTPS signifie HyperText Transfer Protocol Secure. C'est la version sécurisée du protocole HTTP qui régit les échanges de données entre un navigateur et un serveur web. Quand un site utilise HTTPS, les données échangées entre le visiteur et le serveur sont chiffrées : un tiers qui intercepterait la communication ne pourrait pas lire les informations transmises.
Le cadenas affiché dans la barre d'adresse du navigateur avant l'URL d'un site signale que la connexion est sécurisée via HTTPS. Son absence, ou l'affichage d'un avertissement "Non sécurisé", indique que le site utilise encore HTTP et que les données transitent en clair.
SSL (Secure Sockets Layer) est le protocole cryptographique qui est à l'origine de cette sécurisation. Dans les faits, SSL a été remplacé depuis 2018 par TLS (Transport Layer Security), une version plus moderne et plus sûre. Mais le terme SSL est resté dans le langage courant pour désigner le certificat qui permet d'activer HTTPS sur un site. On parle de certificat SSL ou de certificat TLS pour désigner le même composant technique.
Pourquoi HTTPS est indispensable
La sécurité des données. Sur un site en HTTP, toutes les informations échangées transitent en clair sur le réseau. Un formulaire de contact soumis, un mot de passe saisi, un numéro de carte bancaire entré : sur un site HTTP, ces données peuvent être interceptées par quiconque ayant accès au réseau, sur un WiFi public par exemple. HTTPS chiffre ces échanges et les rend illisibles pour les tiers.
La confiance des visiteurs. Les navigateurs modernes, Chrome, Firefox, Safari, Edge, affichent des avertissements explicites quand un utilisateur accède à un site en HTTP, particulièrement sur les pages avec des formulaires. La mention "Non sécurisé" dans la barre d'adresse érode immédiatement la confiance du visiteur et augmente le taux d'abandon.
Le SEO. Google a confirmé dès 2014 que HTTPS est un signal de classement. Son poids est modéré mais réel : à contenu et autorité équivalents, un site en HTTPS est favorisé par rapport à un site en HTTP. Plus significativement, un site en HTTP envoie un signal négatif de qualité et de fiabilité qui peut influencer indirectement d'autres signaux SEO via un taux de rebond plus élevé.
Les performances. Le protocole HTTP/2, qui apporte des gains de performance significatifs notamment sur le chargement parallèle des ressources, nécessite HTTPS. Un site en HTTP ne peut pas bénéficier des optimisations de performance apportées par HTTP/2 ni par HTTP/3.
Comment fonctionne un certificat SSL
Un certificat SSL est un fichier numérique installé sur le serveur web qui accomplit deux fonctions : il authentifie l'identité du site (il confirme que le site est bien celui qu'il prétend être) et il fournit la clé cryptographique utilisée pour chiffrer les échanges.
Il existe plusieurs niveaux de validation des certificats SSL.
DV (Domain Validation) est le niveau le plus basique. Il confirme uniquement que le demandeur contrôle le nom de domaine pour lequel le certificat est émis. C'est le type de certificat le plus répandu pour les sites vitrines et blogs. Il est souvent gratuit via des services comme Let's Encrypt.
OV (Organization Validation) inclut une vérification de l'existence légale de l'organisation demandeuse. Il offre un niveau de confiance supérieur, adapté aux sites d'entreprise avec des formulaires de contact ou de collecte de données.
EV (Extended Validation) est le niveau le plus rigoureux. Il implique une vérification approfondie de l'entreprise et affichait jusqu'en 2019 le nom de l'organisation en vert dans la barre d'adresse. Les navigateurs modernes ont supprimé cet affichage visuel, ce qui a réduit l'intérêt pratique des certificats EV pour la plupart des sites.
La migration HTTP vers HTTPS
Passer un site de HTTP à HTTPS est une opération qui doit être conduite rigoureusement pour éviter des problèmes SEO.
L'installation du certificat. La première étape est d'obtenir et d'installer un certificat SSL sur le serveur. Chez la plupart des hébergeurs modernes, cette opération est automatisée et gratuite via Let's Encrypt. Sur Webflow, le certificat SSL est activé automatiquement sur tous les sites publiés avec un domaine personnalisé.
Les redirections 301. Toutes les URLs HTTP doivent rediriger vers leurs équivalents HTTPS via des redirections permanentes 301. Sans ces redirections, Google peut indexer les deux versions du site comme des contenus distincts, créant des problèmes de duplicate content.
La mise à jour des liens internes. Les liens internes du site qui pointent vers des URLs en HTTP doivent être mis à jour pour pointer vers les URLs en HTTPS. Des liens internes en HTTP sur un site servi en HTTPS sont des mixed content qui peuvent déclencher des avertissements dans les navigateurs.
La mise à jour dans Search Console. Google Search Console traite HTTP et HTTPS comme deux propriétés distinctes. Il faut ajouter la version HTTPS comme nouvelle propriété, la vérifier et s'assurer que le sitemap soumis référence les URLs en HTTPS.
La vérification du mixed content. Le mixed content désigne des ressources, images, scripts, feuilles de style, chargées en HTTP sur une page servie en HTTPS. Ces ressources peuvent déclencher des avertissements de sécurité dans les navigateurs et doivent être mises à jour pour pointer vers leurs versions HTTPS.
HTTPS sur les plateformes intégrées
Sur Webflow, Shopify et la plupart des plateformes modernes, HTTPS est activé automatiquement et géré par la plateforme. Le certificat SSL est provisionné, renouvelé et maintenu sans aucune intervention de l'utilisateur. C'est l'un des avantages de ces plateformes : l'infrastructure de sécurité est prise en charge de façon transparente.
Pour les sites WordPress sur hébergement mutualisé, l'activation de HTTPS nécessite généralement une manipulation dans le panneau d'administration de l'hébergeur pour installer le certificat, puis une configuration dans WordPress pour forcer les URLs en HTTPS.
FAQ
HTTPS est-il vraiment obligatoire pour un site vitrine sans formulaire ?
Techniquement non, mais les navigateurs affichent quand même l'avertissement "Non sécurisé" sur tous les sites en HTTP, même sans formulaire. Cet avertissement nuit à la crédibilité du site et au taux de rebond. De plus, l'obtention d'un certificat SSL est aujourd'hui gratuite et facile sur la plupart des hébergeurs, ce qui enlève tout argument contre son activation.
Un certificat SSL gratuit est-il aussi fiable qu'un certificat payant ?
Pour la sécurité du chiffrement, oui. Let's Encrypt délivre des certificats DV gratuits qui offrent le même niveau de chiffrement que les certificats DV payants. La différence avec les certificats payants se situe dans le niveau de validation (OV ou EV) et le support commercial, pas dans la qualité du chiffrement.
Un certificat SSL doit-il être renouvelé ?
Oui. Les certificats SSL ont une durée de validité, généralement un an ou moins. Sur Webflow et la plupart des hébergements managés, le renouvellement est automatique. Sur un hébergement en gestion autonome avec Let's Encrypt, le renouvellement automatique doit être configuré pour éviter une expiration qui rendrait le site inaccessible.
HTTPS protège-t-il contre toutes les cyberattaques ?
Non. HTTPS sécurise uniquement le transport des données entre le navigateur et le serveur. Il ne protège pas contre les failles dans le code de l'application, les injections SQL, les attaques XSS ou le vol de données côté serveur. C'est une couche de sécurité indispensable mais pas suffisante à elle seule.
