Qu'est-ce qu'un certificat SSL, et pourquoi est-il devenu obligatoire ?
Que signifie le cadenas dans la barre d'adresse ? Que se passe-t-il sur un site sans SSL, et quelle est la vraie différence entre certificats gratuits et payants ?
Le cadenas dans la barre d'adresse indique que le site utilise une connexion sécurisée. Sans lui, le navigateur affiche au visiteur un avertissement « Non sécurisé » — et la plupart repartent dès qu'ils le voient.
Ce que fait réellement le SSL
Il chiffre le trafic entre le navigateur du visiteur et votre serveur. Sans chiffrement, quelqu'un sur le même réseau (le Wi-Fi d'un café, par exemple) peut lire ce qui est envoyé : le message saisi dans votre formulaire, un mot de passe, voire des informations de commande.
Ce qu'il ne fait pas : il ne garantit en rien que le contenu de votre site soit exact ou honnête. Le cadenas concerne la connexion, pas les intentions.
Pourquoi c'est désormais obligatoire
Trois raisons :
- Les navigateurs alertent. Chrome et Safari affichent un avertissement explicite sur les pages sans SSL.
- Google en tient compte. HTTPS est un signal de classement depuis des années.
- Les prestataires de paiement l'exigent. Impossible de mettre en place le paiement par carte sans SSL.
Un certificat gratuit suffit-il ?
Pour la plupart des sites, oui. Let's Encrypt est gratuit, se renouvelle tous les 90 jours et offre exactement la même force de chiffrement que les certificats payants. Presque tous les hébergeurs l'installent en un clic.
Les certificats payants vendent autre chose : la vérification d'identité. Avec les certificats OV et EV, le prestataire confirme par documents que l'entreprise existe réellement. C'est pertinent pour les banques et les grands sites marchands ; pour un petit site vitrine, c'est une dépense inutile.
Trois oublis fréquents après l'installation
1. Les redirections. L'adresse http:// doit rediriger automatiquement vers https://. Sinon le site reste accessible à deux adresses et les moteurs peuvent y voir du contenu dupliqué.
2. Le contenu mixte. Si la page est en HTTPS mais qu'une image se charge en HTTP, le cadenas reste cassé. Tous les liens doivent être en https.
3. Le renouvellement. Si le renouvellement automatique ne fonctionne pas, le certificat expire silencieusement au bout de 90 jours et le site accueille les visiteurs avec un avertissement un beau matin. Vérifiez qu'il tourne.
- #ssl
- #https
- #sécurité
