Site web · 11 min de lecture
Qu'est-ce qu'un certificat SSL ? Guide de sécurité du site et passage en HTTPS
Une alerte « Non sécurisé » dans la barre d'adresse suffit à faire partir un visiteur de votre site. Le SSL règle ce problème, mais la sécurité d'un site ne se résume pas à un certificat.
En bref
- Un certificat SSL est un document numérique qui chiffre la connexion entre le navigateur du visiteur et le site, et confirme que le site appartient bien à ce domaine ; le protocole utilisé aujourd'hui s'appelle TLS.
- HTTPS est une connexion HTTP chiffrée avec SSL/TLS ; les navigateurs affichent une alerte « Non sécurisé » sur les pages sans HTTPS.
- Un certificat validé par domaine (DV) suffit pour les sites de petites entreprises ; ce qui compte vraiment, c'est qu'il se renouvelle à temps, automatiquement.
- En plus de HTTPS, la sécurité d'un site demande des mots de passe solides et la vérification en deux étapes, des autorisations limitées, la protection des formulaires et des sauvegardes régulières.
- Dans Heyşirket, les certificats SSL de votre sous-domaine et de votre propre nom de domaine connecté sont installés et renouvelés automatiquement, sans frais supplémentaires.
Un client visite votre site et voit « Non sécurisé » dans la barre d'adresse. Il hésite avant de saisir son numéro de téléphone dans votre formulaire de contact, et ferme souvent l'onglet. Pourtant, le problème n'est pas grave : le site n'est pas servi en HTTPS.
Dans cet article, nous expliquons simplement ce qu'est un certificat SSL, en quoi HTTP et HTTPS diffèrent, comment passer en HTTPS et quel type de certificat vous suffit. Ensuite, nous allons au-delà du certificat et listons ce qu'une petite entreprise doit vérifier pour la sécurité de son site web.
Partie 1 · Définition Qu'est-ce qu'un certificat SSL ?
Un certificat SSL est un document numérique qui vérifie l'identité d'un site web et sert à chiffrer la connexion entre le visiteur et le site. Il est délivré par une autorité de certification reconnue. Quand le navigateur se connecte, il contrôle le certificat ; s'il est valide, la connexion est chiffrée.
Bien que le nom SSL soit resté, le protocole utilisé aujourd'hui est TLS. Les anciennes versions de SSL ont été abandonnées il y a des années à cause de failles de sécurité. « Certificat SSL » désigne en réalité le certificat utilisé pour TLS.
À quoi sert le chiffrement ? Quand un visiteur saisit son nom, son téléphone ou un message dans votre formulaire, ces informations traversent de nombreux points sur internet. Sans chiffrement, quelqu'un d'intermédiaire, par exemple sur un réseau de café ouvert, pourrait les lire ou modifier le contenu de la page. HTTPS l'empêche.
Partie 2 · Différence Quelle est la différence entre HTTP et HTTPS ?
| HTTP | HTTPS | |
|---|---|---|
| Connexion | Non chiffrée, en clair | Chiffrée avec TLS |
| Dans le navigateur | Alerte « Non sécurisé » | Aucune alerte, certificat visible dans les détails de la connexion |
| Données des formulaires | Lisibles pendant le transfert | Illisibles pendant le transfert |
| Moteurs de recherche | Google compte HTTPS dans l'expérience de page | La version à privilégier |
| Fonctionnalités modernes | Beaucoup de fonctions du navigateur, comme la localisation et la caméra, ne fonctionnent pas | Elles fonctionnent |
Google compte HTTPS parmi ses signaux d'expérience de page. Cela ne vous fera pas monter en tête à lui seul, mais un site resté en HTTP part en retard sur la confiance comme sur la visibilité. HTTPS compte aussi pour la vitesse : les navigateurs n'utilisent les protocoles de connexion modernes et plus rapides que sur HTTPS. Nous expliquons comment mesurer la vitesse de votre site dans comment mesurer la vitesse d'un site.
Partie 3 · Types Types de certificats SSL : lequel suffit ?
| Type | Ce qu'il vérifie | Pour qui |
|---|---|---|
| DV (validé par domaine) | Que le demandeur contrôle le domaine | Petites entreprises, sites d'entreprise, blogs, la plupart des boutiques |
| OV (validé par l'organisation) | L'existence de l'organisation, en plus du domaine | Ceux qui veulent les coordonnées de l'organisation dans le certificat |
| EV (validation étendue) | Un contrôle officiel détaillé de l'organisation | Banques et grandes organisations traitant des opérations à haut risque |
La force du chiffrement est la même pour les trois ; la seule différence est la profondeur du contrôle d'identité. Les navigateurs n'affichent plus de différence claire entre les types dans la barre d'adresse. Pour le site d'une petite entreprise, un certificat DV suffit et il est en général gratuit. Les certificats diffèrent aussi par leur couverture : un seul domaine, un domaine avec www, ou un certificat joker couvrant tous les sous-domaines.
Partie 4 · Migration Passer en HTTPS : les étapes
Si votre site s'ouvre encore en HTTP, ou si vous venez d'une autre plateforme, le passage se fait dans cet ordre :
Passer de HTTP à HTTPS
Installer le certificat
Activez le certificat gratuit et à renouvellement automatique proposé par votre hébergeur. Vérifiez qu'il couvre à la fois le domaine principal et la version avec www.
Rediriger tout le trafic vers HTTPS
Envoyez les adresses HTTP vers leurs équivalents HTTPS avec une redirection 301 permanente. Ne gardez qu'une seule version comme adresse principale, avec ou sans www, et redirigez l'autre vers elle.
Nettoyer le contenu mixte
Même sur une page HTTPS, si une image, un script ou une police se charge en http://, le navigateur le bloque ou affiche une alerte. Remplacez les adresses de votre contenu et de votre code personnalisé par https://.
Ajouter HSTS
L'en-tête HSTS demande au navigateur d'ouvrir le site uniquement en HTTPS pendant une période donnée. Ainsi, même si quelqu'un clique sur un ancien lien HTTP, aucune connexion non chiffrée n'est établie.
Mettre à jour Search Console
Vérifiez que la version HTTPS est validée dans Search Console et que le plan du site liste des adresses HTTPS. Passez aussi les liens internes en HTTPS.
Partie 5 · Sécurité Sécurité du site : au-delà du certificat
HTTPS protège la connexion, mais si quelqu'un se connecte à l'espace d'administration de votre site avec votre mot de passe, le certificat ne sert à rien. Sur les sites de petites entreprises, la plupart des problèmes viennent de mots de passe faibles, de comptes partagés et de sauvegardes absentes.
Checklist de sécurité du site
- Le site s'ouvre en HTTPS, sans alerte « Non sécurisé ».
- Le certificat se renouvelle automatiquement ; je n'ai pas à suivre sa date d'expiration.
- Aucune image ni aucun script de mes pages ne se charge en http://.
- Chaque personne qui se connecte à l'espace d'administration a son propre compte ; les mots de passe ne sont pas partagés.
- La vérification en deux étapes est activée pour tous les administrateurs.
- Chacun n'a que les autorisations dont il a besoin ; les comptes des personnes qui partent sont fermés.
- Les formulaires de contact et de devis sont protégés contre les envois automatiques.
- Des sauvegardes sont faites régulièrement et je sais en restaurer une.
- L'adresse e-mail liée à mon nom de domaine et à mon hébergement est à jour et m'appartient.
Partie 6 · Dépannage J'ai une erreur SSL. Que dois-je faire ?
Les problèmes de certificat viennent en général de quelques causes connues. Le texte de l'alerte dans le navigateur indique laquelle.
| Symptôme | Cause probable | Que faire |
|---|---|---|
| Alerte plein écran « Votre connexion n'est pas privée » | Le certificat a expiré ou n'a jamais été installé | Le renouveler et passer au renouvellement automatique |
| Alerte indiquant que le certificat appartient à un autre nom | Le certificat ne couvre pas www ni le domaine principal | Installer un certificat qui couvre les deux versions |
| La page s'ouvre mais affiche « Non sécurisé » | Du contenu de la page se charge en http:// | Passer le contenu mixte en https:// |
| Alerte sur un nom de domaine qui vient d'être connecté | Les enregistrements DNS ne se sont pas encore propagés, le certificat est en préparation | Vérifiez les enregistrements ; l'attente suffit en général |
| Alerte sur un seul ordinateur | L'horloge de l'appareil est fausse, ou un logiciel du réseau intercepte la connexion | Corriger l'horloge, essayer un autre réseau |
Si vous venez de connecter le domaine, soyez patient : les enregistrements DNS peuvent mettre de quelques minutes à quelques heures à se propager. Pour vérifier qu'ils sont bien saisis, consultez nos guides par fournisseur, comme connecter un nom de domaine sur Cloudflare.
Partie 7 · Produit SSL et sécurité du site dans Heyşirket
Chez Heyşirket, vous n'avez rien à acheter ni à installer pour le SSL. Votre adresse gratuite examplefirm.heysirket.com s'ouvre en HTTPS dès le premier jour. Quand vous connectez votre propre nom de domaine, le certificat est installé automatiquement une fois que l'enregistrement CNAME de votre domaine pointe vers nous et que la vérification est terminée, puis il se renouvelle automatiquement avant son expiration. Nous expliquons les étapes de connexion dans connecter votre propre nom de domaine, et vous voyez ce que signifie chaque statut sur l'écran Réglages › Noms de domaine du panneau.
- Chiffrement : les domaines connectés utilisent au minimum TLS 1.2 ; l'adresse www redirige vers l'adresse principale.
- En-têtes de sécurité : les pages du site sont servies avec HSTS, une politique de sécurité du contenu (CSP) et des en-têtes qui limitent les autorisations du navigateur.
- Infrastructure : les sites sont servis via le réseau mondial de Cloudflare.
- Protection des formulaires : connectez Turnstile sur l'écran Intégrations pour protéger vos formulaires contre les envois automatiques.
- Sécurité du compte : sur l'écran Sécurité et sessions, vous activez la vérification en deux étapes, obtenez vos codes de secours et fermez les sessions que vous ne reconnaissez pas. Vous attribuez à votre équipe les rôles d'administrateur, d'éditeur ou d'auteur.
- Sauvegarde : téléchargez une sauvegarde complète de votre site depuis Réglages › Outils › Exporter.
Le SEO › Audit du site du forfait Professional repère aussi les ressources non sécurisées chargées en http:// sur vos pages et montre comment les corriger. Pour l'équipe et les autorisations, voir autorisations d'équipe et sécurité des données. Pas à pas dans le panneau : Aide › Connecter un nom de domaine.
Qu'est-ce qu'un certificat SSL ?
Un certificat SSL est un document numérique qui confirme qu'un site appartient à son domaine et chiffre la connexion entre le visiteur et le site. Le protocole utilisé aujourd'hui est TLS, mais le certificat est encore couramment appelé certificat SSL.
Comment activer HTTPS ?
On installe d'abord un certificat à renouvellement automatique pour votre domaine, puis toutes les adresses HTTP sont redirigées vers HTTPS avec une redirection 301. Les ressources chargées en http:// sur vos pages sont corrigées, HSTS est ajouté, et Search Console ainsi que le plan du site sont mis à jour avec les adresses HTTPS.
Un certificat SSL gratuit est-il sûr ?
Oui. Les certificats gratuits validés par domaine (DV) offrent la même force de chiffrement que les payants. La seule différence est la profondeur du contrôle d'identité, et un certificat DV suffit pour un petit site d'entreprise.
Pourquoi l'alerte « Non sécurisé » apparaît-elle ?
Le navigateur l'affiche quand la page s'ouvre en HTTP au lieu de HTTPS, quand le certificat a expiré ou quand il appartient à un autre domaine. Du contenu chargé en http:// sur une page HTTPS peut aussi déclencher une alerte.
Le certificat SSL est-il payant chez Heyşirket ?
Non. Votre sous-domaine gratuit s'ouvre en HTTPS, et le certificat de votre propre domaine connecté est installé et renouvelé automatiquement après vérification. Vous n'avez pas à acheter de certificat ni à le renouveler à la main.
Connectez votre domaine en toute sécurité Ajoutez votre domaine et saisissez les enregistrements ; la vérification et le certificat SSL se terminent automatiquement. Ouvrir les domaines
Auteur : équipe éditoriale Heyşirket