Un certificat SSL est un petit fichier sur votre serveur qui chiffre le trafic entre votre site et vos visiteurs, et prouve que le site est bien le vôtre. Voici ce qu'il fait, pourquoi les navigateurs signalent les sites qui n'en ont pas, et comment en obtenir un gratuitement.
Un certificat SSL est un petit fichier installé sur votre serveur web qui remplit deux fonctions : il chiffre tout ce qui voyage entre votre site et chaque visiteur, afin que les mots de passe, les numéros de carte et les messages ne puissent être lus ni modifiés en transit, et il prouve au navigateur que le site est vraiment le vôtre et non une copie contrefaite. Une fois installé, votre site est servi en HTTPS au lieu de HTTP simple, et le navigateur affiche le cadenas. C'est le signal de confiance le moins cher qu'un site puisse afficher, car un certificat valide de Let's Encrypt ne coûte absolument rien, et tous les navigateurs majeurs marquent désormais les sites qui en sont dépourvus comme non sécurisés.
Un certificat SSL est une paire de clés cryptographiques accompagnée d'une déclaration signée sur le propriétaire du domaine. La moitié publique se trouve dans le certificat que votre serveur présente aux visiteurs ; la moitié privée est un fichier secret que seul votre serveur détient. Lorsqu'un navigateur se connecte, les deux parties se mettent d'accord sur une clé de session en quelques millisecondes, et à partir de là toute la conversation est chiffrée. Cela vous donne deux garanties distinctes. La confidentialité : personne entre le visiteur et votre serveur ne peut lire ce qui transite, qu'il s'agisse d'un mot de passe, d'un paiement ou d'un message privé. L'intégrité : si quelqu'un altère le trafic en vol, le résultat déchiffré est illisible et la connexion échoue au lieu de livrer un contenu corrompu sans bruit. Le cadenas dans la barre d'adresse est la confirmation par le navigateur que les deux garanties sont en place.
Le HTTP simple envoie tout en texte lisible. Sur un réseau non sécurisé, n'importe qui sur le même Wi-Fi ou n'importe quel serveur intermédiaire peut lire les sessions, intercepter les formulaires envoyés, voire regarder un visiteur se connecter puis rejouer sa connexion lui-même. Les fournisseurs sur le trajet peuvent aussi injecter du contenu dans la page, ce qui explique les publicités et les scripts de suivi apparaissant sur des sites qui ne les ont jamais approuvés. HTTPS rend tout cela illisible. Au-delà de la vie privée, il y a trois conséquences pratiques. Les navigateurs modernes étiquettent chaque page HTTP comme non sécurisée et masquent le cadenas, ce qui coûte en confiance dès qu'un client le remarque. Les moteurs de recherche traitent HTTPS comme un signal de classement, donc un contenu identique en HTTP perd du terrain. Et les protocoles plus rapides HTTP/2 et HTTP/3, que la plupart des serveurs et des CDN exigent pour fonctionner, sont tout simplement indisponibles en HTTP simple.
Les certificats diffèrent par l'importance de la vérification d'identité effectuée par l'émetteur. Un certificat à validation de domaine (DV) confirme seulement que vous contrôlez le domaine, est délivré en quelques minutes, souvent automatiquement, et c'est exactement ce que Let's Encrypt fournit gratuitement ; cela couvre l'écrasante majorité des sites professionnels. La validation d'organisation (OV) vérifie l'entreprise enregistrée dans les registres publics, le certificat nomme donc votre société, ce qui convient aux sites souhaitant une crédibilité d'entreprise visible. La validation étendue (EV) est la plus stricte et produisait historiquement le nom d'entreprise vert dans la barre d'adresse ; elle est surtout utilisée par les banques et les prestataires de paiement. Vous choisissez aussi la couverture : un certificat à nom unique couvre un hôte, un wildcard couvre tous les sous-domaines d'un domaine, et un certificat multi-domaines couvre une liste de noms dans un seul certificat. Pour la plupart des sites de petite et moyenne taille, la bonne réponse est un certificat DV gratuit et automatisé, renouvelé selon un calendrier.
La voie gratuite est Let's Encrypt avec un client ACME comme Certbot, qui vérifie votre contrôle du domaine en plaçant un fichier d'épreuve temporaire sur votre site, émet le certificat, l'installe dans votre serveur web et met en place un renouvellement automatique pour que vous n'ayez plus jamais à penser aux expirations. La plupart des panneaux de contrôle d'hébergement et des hébergeurs modernes intègrent le même processus derrière un bouton, donc en hébergement géré tout se résume à un clic. Quelle que soit la voie, déployez dans cet ordre : installez le certificat, puis ajoutez une redirection qui envoie chaque requête HTTP vers son équivalent HTTPS afin qu'aucune version non sécurisée du site ne reste accessible, puis vérifiez que le minuteur de renouvellement tourne vraiment et que vous recevez une alerte s'il échoue. Envisagez enfin d'envoyer l'en-tête Strict-Transport-Security une fois HTTPS stable, qui indique aux navigateurs de toujours utiliser HTTPS pour votre domaine. Chaque VPS déployé par EGYmass est livré avec TLS configuré ainsi dès le premier jour.
Le certificat n'est que le début ; le cadenas disparaît dès que quelque chose sur la page est incohérent. La plus fréquente est le contenu mixte : le HTML se charge en HTTPS mais une image, un script ou une police est référencé avec une adresse http://, et le navigateur la bloque ou retire le cadenas et avertit le visiteur. Corrigez chaque référence de ce genre en https:// ou rendez-la relative au protocole. La deuxième est le certificat expiré, qui produit un avertissement en plein écran que les visiteurs prennent très au sérieux ; les renouvellements sont automatiques mais seulement si l'automatisation continue de tourner, alors surveillez-la ou utilisez un service qui alerte sur l'expiration du certificat. La troisième est l'oubli du nom d'hôte www ou alternatif : un certificat couvrant example.com ne couvre pas www.example.com à moins d'être wildcard ou multi-domaines. Et la quatrième est de laisser un certificat auto-signé en production : il chiffre le trafic mais affiche un avertissement car aucune autorité de confiance ne le cautionne — parfait pour les tests internes, jamais pour un site servant des clients.
Non. Let's Encrypt délivre des certificats validés par domaine gratuitement, et le renouvellement est automatisé, donc un site professionnel standard ne devrait jamais avoir besoin d'en acheter un. Les certificats payants ont du sens lorsque vous voulez que le certificat nomme votre organisation pour la crédibilité, ou que vous avez besoin de validation étendue, wildcard ou multi-domaines que l'offre gratuite ne fournit pas.
Non. La négociation TLS ajoute quelques millisecondes et se produit une fois par connexion, et le chiffrement lui-même est négligeable sur du matériel moderne. En pratique, HTTPS est souvent plus rapide, car il est nécessaire pour HTTP/2 et HTTP/3, qui chargent les pages en parallèle sur une seule connexion et que le HTTP simple ne peut pas utiliser.
La page charge certaines ressources en http:// alors qu'elle est en https://, ce que le navigateur signale. Ouvrez la console de votre navigateur ou l'onglet réseau pour repérer les URL non sécurisées, puis passez chacune en https:// ou en chemin relatif. Une fois que chaque ressource correspond au protocole de la page, l'avertissement disparaît et le cadenas redevient propre.
Des serveurs VPS déployés avec TLS dès le premier jour — certificats Let's Encrypt gratuits, renouvellement automatique et HTTPS imposé par défaut.
La liste de contrôle au niveau serveur sur laquelle cet article s'appuie — clés SSH, pare-feu, mises à jour automatiques, TLS et sauvegardes quotidiennes.
Novice en hébergement ? Une explication simple de ce qu'est un VPS, quand vous en avez besoin, et comment il diffère de l'hébergement mutualisé.
EGYmass gère l'hébergement, la sécurité et la maintenance continue - pour que vous puissiez vous concentrer sur votre produit.
Consultation gratuite