HTTPS / SSL

Qu'est-ce que HTTPS et SSL ?

HTTPS (HyperText Transfer Protocol Secure) est la version sécurisée du protocole HTTP utilisé pour charger les pages web. La différence avec HTTP ? Toutes les données échangées entre le navigateur de l'utilisateur et le serveur sont chiffrées grâce à un certificat SSL/TLS (Secure Sockets Layer / Transport Layer Security). Le cadenas dans la barre d'adresse indique que la connexion est sécurisée.

Concrètement, quand un visiteur remplit un formulaire de contact ou entre ses coordonnées bancaires sur votre site, le chiffrement HTTPS empêche un pirate d'intercepter ces données. Sans HTTPS, les données transitent en clair et peuvent être lues par n'importe qui sur le réseau. En 2026, 95% du trafic web passe par HTTPS, et tous les navigateurs modernes affichent un avertissement "Non sécurisé" sur les sites en HTTP.

Pourquoi HTTPS est obligatoire

Google l'exige. Depuis 2014, HTTPS est un facteur de ranking SEO confirmé. Les sites HTTPS sont favorisés dans les résultats de recherche. Depuis 2018, Chrome affiche un avertissement "Non sécurisé" sur tous les sites HTTP, ce qui fait fuir les visiteurs. En 2026, un site en HTTP est tout simplement inacceptable.

Les navigateurs l'imposent. Chrome, Firefox, Safari et Edge affichent tous des avertissements pour les sites non sécurisés. Certaines fonctionnalités modernes du web (géolocalisation, notifications push, caméra/micro, service workers) sont bloquées sur les sites HTTP.

La loi le recommande. Le RGPD exige des mesures de sécurité "appropriées" pour protéger les données personnelles. Ne pas chiffrer les données en transit via HTTPS peut être considéré comme une violation de cette exigence.

Les utilisateurs l'attendent. 82% des internautes quittent un site qui affiche "Non sécurisé". La confiance est le fondement du commerce en ligne, et HTTPS est le minimum pour l'établir.

Comment fonctionne un certificat SSL

Quand un utilisateur se connecte à un site HTTPS, un processus appelé handshake SSL se produit en quelques millisecondes. Le serveur envoie son certificat SSL au navigateur. Le navigateur vérifie que le certificat est valide (émis par une autorité de certification reconnue, non expiré, correspondant au domaine). Une fois vérifié, une clé de chiffrement unique est générée pour cette session. Toutes les données échangées sont ensuite chiffrées avec cette clé.

Les certificats SSL sont émis par des autorités de certification (CA) : Let's Encrypt (gratuit et automatique), DigiCert, Comodo, GlobalSign. Il existe trois niveaux de validation : DV (Domain Validation, vérifie que vous possédez le domaine, suffisant pour la majorité des sites), OV (Organization Validation, vérifie l'entreprise), et EV (Extended Validation, vérification approfondie, affiche le nom de l'entreprise dans la barre d'adresse).

Obtenir et installer un certificat SSL

La méthode la plus simple et gratuite : Let's Encrypt. La plupart des hébergeurs modernes (Vercel, Netlify, OVH, Cloudflare) incluent un certificat Let's Encrypt gratuit et automatique. Chez Vercel (que nous utilisons chez ConvertiLab), le HTTPS est activé automatiquement dès la connexion du domaine, aucune configuration nécessaire.

Pour les hébergements classiques, l'installation se fait via le panneau de contrôle de l'hébergeur (cPanel, Plesk) en quelques clics. Les certificats Let's Encrypt se renouvellent automatiquement tous les 90 jours.

Certificat gratuit ou payant : lequel choisir ?

Une question revient souvent chez les dirigeants de TPE : faut-il payer pour un certificat SSL ? Dans l'immense majorité des cas, non. Un certificat DV gratuit (Let's Encrypt) chiffre les données exactement de la même manière qu'un certificat payant : le niveau de sécurité technique est identique, et le cadenas s'affiche pareillement. Pour un site vitrine, un blog, un restaurant ou un artisan, c'est amplement suffisant.

Les certificats payants ne se justifient que dans des cas précis. Un certificat OV ou EV apporte une validation renforcée de l'identité de l'entreprise, utile pour une banque, une plateforme de paiement ou un grand site e-commerce qui veut afficher un maximum de garanties. Certains incluent aussi une garantie financière et un support dédié. Mais pour 95% des PME françaises, le certificat gratuit couvre tous les besoins réels sans dépenser un centime.

Les erreurs de sécurité fréquentes à éviter

Installer un certificat SSL ne suffit pas toujours : quelques erreurs classiques annulent une partie du bénéfice.

- Le contenu mixte (mixed content) : une page en HTTPS qui charge encore des images, scripts ou polices en HTTP. Le navigateur affiche alors un cadenas barré et l'avertissement de sécurité réapparaît. - L'absence de redirection 301 : sans redirection, les anciennes URL en HTTP restent accessibles et créent du contenu dupliqué qui nuit au SEO. - Un certificat expiré : sur les hébergements manuels, oublier de renouveler le certificat rend le site inaccessible du jour au lendemain. L'automatisation évite ce piège. - Oublier de déclarer la version HTTPS dans Google Search Console, ce qui fausse le suivi de l'indexation.

Vérifier ces points garantit que le passage au HTTPS profite pleinement à votre référencement et à votre image.

La migration HTTP vers HTTPS

Si votre site est encore en HTTP, la migration vers HTTPS nécessite quelques étapes. Installez le certificat SSL. Mettez à jour toutes les URLs internes (liens, images, scripts) de HTTP à HTTPS. Configurez des redirections 301 de toutes les URLs HTTP vers HTTPS. Mettez à jour le sitemap XML et le robots.txt. Déclarez le nouveau domaine HTTPS dans Google Search Console. Vérifiez que toutes les pages se chargent correctement sans contenu mixte (des ressources encore chargées en HTTP sur une page HTTPS).

L'impact sur la performance

Le chiffrement HTTPS ajoutait autrefois de la latence, mais avec TLS 1.3 et HTTP/2 (qui nécessite HTTPS), les sites HTTPS sont souvent plus rapides que les sites HTTP. HTTP/2 permet le multiplexage (charger plusieurs ressources simultanément), la compression des en-têtes, et le server push. C'est un argument de performance, pas un frein.

HTTPS et confiance des clients locaux

Pour un commerçant ou un prestataire de proximité, le HTTPS n'est pas qu'une affaire technique : c'est un signal de sérieux visible immédiatement. Un client qui hésite entre deux artisans se rassure en voyant le cadenas de sécurité, surtout au moment de laisser son numéro de téléphone ou de payer un acompte en ligne. À l'inverse, l'avertissement rouge "Non sécurisé" affiché par Chrome sur un site en HTTP suffit à faire fuir un prospect vers un concurrent. Sécuriser son site, c'est donc protéger à la fois ses données et son image de marque.

Chez ConvertiLab, tous nos sites sont sécurisés en HTTPS dès le premier jour grâce au certificat SSL automatique de Vercel, avec redirections 301 correctes et vérification de l'absence de contenu mixte. La sécurité n'est pas une option, c'est un prérequis.