Certificat SSL, c’est quoi ? Pourquoi votre site n’est pas sécurisé

Un certificat SSL, c’est ce qui fait passer votre site de http à https : il chiffre les échanges entre le navigateur du visiteur et votre site, et prouve que le site est bien le vôtre. Sans lui, Chrome, Edge ou Firefox affichent « Non sécurisé ». Bonne nouvelle : il existe des certificats gratuits, aussi fiables que les payants pour la plupart des sites.

Un certificat SSL, c’est quoi ?

Quand quelqu’un visite votre site, son navigateur et votre serveur s’échangent des informations : les pages, mais aussi ce qu’il tape dans un formulaire de contact ou un panier. En http, ces données circulent en clair, et n’importe qui placé sur le chemin (un Wi-Fi public mal protégé, par exemple) peut les lire ou les modifier. En https, elles sont chiffrées : illisibles pour tout le monde sauf le navigateur et votre site.

Le certificat sert à deux choses. Il permet ce chiffrement, et il prouve l’identité du site : une autorité de certification a vérifié que celui qui l’a demandé contrôle bien le nom de domaine. C’est ce que signale le cadenas (ou, sur Chrome, la petite icône de réglages qui l’a remplacé) à gauche de l’adresse.

SSL ou TLS ? SSL est le nom de l’ancien protocole, abandonné depuis longtemps car plus assez sûr. Aujourd’hui, tout passe par son successeur, TLS (versions 1.2 et 1.3). Mais l’habitude est restée : tout le monde dit encore « certificat SSL », et c’est bien la même chose.

Il existe trois niveaux de vérification. Le chiffrement est le même dans les trois cas, seule change la quantité de contrôles faits sur le demandeur :

Pourquoi mon site affiche « Non sécurisé » ?

Depuis Chrome 68, sorti en juillet 2018, toute page chargée en http est marquée « Non sécurisé ». Les autres navigateurs ont suivi. Le message apparaît si votre site n’a pas de certificat, si le certificat a expiré, ou si une partie de la page est encore chargée en http (on y revient plus bas).

Les conséquences sont concrètes. Un visiteur qui voit cet avertissement hésite à remplir votre formulaire de contact, et encore plus à payer en ligne. Google utilise le https comme signal de classement depuis 2014 : un petit signal, mais il n’y a aucune raison de s’en priver. Et Google a annoncé qu’à partir de Chrome 154, prévu en octobre 2026, le navigateur demandera par défaut une confirmation avant d’ouvrir un site public non sécurisé. Un site en http devient donc un site que l’on n’ouvre plus en un clic.

Certificat SSL gratuit ou payant ?

Le plus connu des certificats gratuits est Let’s Encrypt, une autorité à but non lucratif reconnue par tous les navigateurs. Il s’agit de certificats DV : même chiffrement, même cadenas qu’un certificat payant. Pour un site vitrine, un blog ou une boutique en ligne classique, c’est largement suffisant. Le payant se justifie surtout si vous avez besoin d’un certificat OV ou EV, d’une garantie contractuelle ou d’un support dédié.

Le vrai sujet n’est plus le prix, c’est la durée de validité, qui raccourcit nettement.

Chez QWEB, le certificat SSL est inclus sur toutes nos offres d’hébergement web, avec renouvellement automatique.

Les pannes les plus fréquentes

• Certificat expiré. Le renouvellement automatique a échoué (changement de serveur, de DNS, de configuration) et personne ne l’a vu. Le navigateur affiche alors une page d’alerte plein écran qui fait fuir presque tous les visiteurs.
• Contenu mixte. La page est en https, mais une image, un script ou une police est encore appelé en http. Le navigateur bloque l’élément ou retire l’indicateur de sécurité. Cas typique sur un vieux site WordPress migré vers https sans mise à jour des liens.
• Pas de redirection de http vers https. Le certificat est installé, mais l’ancienne adresse en http reste accessible. Google peut alors voir deux versions du site, et certains visiteurs arrivent sur la mauvaise.
• Le www oublié. Le certificat couvre votresite.fr mais pas www.votresite.fr (ou l’inverse). Selon la façon dont on tape l’adresse, le site s’ouvre normalement ou affiche une erreur.

Ces problèmes se repèrent et se corrigent vite quand le site est suivi régulièrement : c’est l’un des contrôles de notre maintenance et mises à jour.

Vérifier son site en 30 secondes

1. Tapez votre adresse en http:// dans le navigateur. Vous devez être renvoyé automatiquement vers https://.
2. Essayez avec et sans www. Les deux versions doivent s’ouvrir sans alerte et finir sur la même adresse.
3. Cliquez sur l’icône à gauche de l’adresse, puis sur les informations de connexion : le navigateur indique si la connexion est sécurisée et donne la date d’expiration du certificat.
4. Ouvrez vos pages clés (contact, panier, devis) : aucun avertissement ne doit apparaître, sinon c’est souvent du contenu mixte.

Le certificat n’est qu’une brique de la sécurité d’un site. Les sauvegardes et la protection du serveur comptent tout autant : voir notre page sauvegarde et sécurité cloud.