Passer son site en HTTPS.

Pourquoi passer en HTTPS

HTTPS est la version chiffrée de HTTP : ce que le visiteur envoie (un formulaire de contact, un mot de passe) et ce qu’il reçoit ne peut pas être lu ou modifié en chemin. Le cadenas du navigateur indique en plus que le site est bien celui qu’il prétend être. Aujourd’hui, un site d’entreprise sans HTTPS fait mauvaise impression, et les navigateurs avertissent les visiteurs quand une page n’est pas sécurisée.

Trois raisons concrètes :

• La confiance des visiteurs. Un avertissement « non sécurisé » sur la page contact fait fuir.
• Le référencement. Google présente HTTPS comme un indicateur positif de qualité de recherche. Cette page de référence date de 2015 et ne précise pas le poids de ce signal : ne comptez pas sur HTTPS pour gagner des places, mais ne vous en privez pas.
• La protection des données. La CNIL demande de sécuriser les échanges par TLS (le protocole qui fait fonctionner HTTPS) sur tous les sites web, et d’en rendre l’usage obligatoire sur les pages où des données personnelles sont affichées ou transmises, par exemple un formulaire de contact.

Le certificat : ce qu’il faut, et ce que ça coûte

Pour passer en HTTPS, votre site a besoin d’un certificat, délivré par une autorité de certification. Il prouve que le nom de domaine vous appartient.

Bonne nouvelle : il peut être gratuit. L’autorité Let’s Encrypt, organisme à but non lucratif, ne facture pas ses certificats. Ses certificats sont valables 90 jours et se renouvellent de façon automatisée. Elle précise que des intermédiaires, comme les hébergeurs, peuvent facturer des frais modestes pour leur propre administration.

Concrètement, c’est presque toujours l’hébergeur qui l’installe, souvent en un clic dans son interface. Demandez-lui trois choses : le certificat est-il inclus, se renouvelle-t-il tout seul, et qui est prévenu en cas d’échec ? Un certificat expiré affiche une page d’erreur plein écran à vos visiteurs, bien pire qu’un site sans HTTPS.

Le type de certificat le plus courant, dit « de domaine », suffit à un site vitrine. Les certificats « d’organisation » ou « étendus », plus chers, ne sont pas nécessaires pour fonctionner.

Les étapes d’une migration sans casse

La difficulté n’est pas le certificat, mais de ne rien casser en changeant l’adresse de chaque page : http://monsite.fr/page devient https://monsite.fr/page. Pour Google, ce sont deux adresses différentes. Le guide de référence cité plus haut recommande l’ordre suivant :

1. Installer le certificat et vérifier que le site s’ouvre bien en HTTPS.
2. Corriger les liens internes pour qu’ils ne contiennent plus de http:// en dur.
3. Rediriger en 301 chaque adresse HTTP vers son équivalent HTTPS. La même page recommande la redirection permanente 301 pour indiquer aux moteurs et aux navigateurs que la version HTTPS est la version de référence.
4. Déclarer la bonne adresse : balise canonique en HTTPS sur chaque page, sitemap listant les adresses HTTPS.
5. Prévenir Google en ajoutant la version HTTPS à la Search Console et en soumettant le sitemap à jour.

Si vous refaites votre site, profitez-en : une refonte est le bon moment pour traiter HTTPS et les redirections d’un seul tenant.

Le piège classique : le contenu mixte

Après la bascule, une page peut se charger en HTTPS tout en appelant une image, un script ou une feuille de style en HTTP. On parle de contenu mixte. Selon la documentation de MDN, les navigateurs remettent automatiquement en HTTPS les images, vidéos et fichiers audio, mais bloquent les scripts, feuilles de style, cadres, polices et autres ressources non sécurisées. Résultat possible : une page qui s’affiche de travers, un menu ou un formulaire qui ne fonctionne plus.

La parade est simple à énoncer : tout ce que charge votre site doit passer en HTTPS, y compris ce qui vient d’autres sites (cartes, polices, vidéos). Parcourez vos pages principales avec la console de votre navigateur : les ressources bloquées y sont signalées.

HSTS : un renforcement à activer en dernier

Une fois HTTPS stable, l’en-tête HSTS demande aux navigateurs de n’ouvrir votre site qu’en HTTPS, sans même passer par la redirection. Mais la page de référence de Google le range en toute fin de migration, avec une mise en garde : un visiteur qui connaît votre site comme « HSTS » n’a plus aucun moyen de passer outre une erreur de certificat. À n’activer que si le renouvellement du certificat est fiable, en commençant par une durée courte.

Vérifier le résultat

• Tapez l’adresse en http:// : vous devez arriver sur la version https:// de la même page, pas sur l’accueil.
• Testez avec et sans « www » si vous utilisez les deux.
• Vérifiez que le cadenas est présent sur les pages principales, formulaire de contact compris.
• Regardez, dans la Search Console, que les pages HTTPS sont découvertes et indexées dans les jours et semaines qui suivent.
• Agendez une vérification avant la fin de validité du certificat si le renouvellement n’est pas automatique.

Questions fréquentes

Le HTTPS est-il obligatoire pour un site d’entreprise ?

La CNIL demande de sécuriser les échanges par TLS sur tous les sites web et de le rendre obligatoire dès qu’une page affiche ou transmet des données personnelles, ce qui est le cas d’un formulaire de contact. En pratique, c’est un minimum.

Un certificat gratuit est-il moins sûr qu’un certificat payant ?

Let’s Encrypt délivre uniquement des certificats de validation de domaine, qui suffisent à un site vitrine ; les certificats d’organisation relèvent d’autres autorités.

Passer en HTTPS fait-il perdre mon référencement ?

Pas si chaque adresse HTTP est redirigée en 301 vers son équivalent HTTPS et que les canoniques et le sitemap sont à jour. Des variations temporaires restent possibles le temps que Google traite les nouvelles adresses.

Qui s’occupe du certificat ?

Le plus souvent l’hébergeur. Vérifiez à la souscription si le certificat est inclus et renouvelé automatiquement.