Qu’est-ce qu’un certificat SSL et pourquoi est-il indispensable ?

Depuis que les navigateurs affichent « Non sécurisé » en rouge dans la barre d’adresse, la question ne se pose plus. Un site sans certificat SSL perd la confiance de ses visiteurs. Chrome, Firefox et Safari ont tous adopté cette signalisation, et les internautes y sont devenus attentifs. En effet, le certificat SSL conditionne la sécurité des échanges, le référencement naturel et la conformité aux attentes minimales du web aujourd’hui.

Qu’est-ce qu’un certificat SSL ?

Un certificat SSL est un fichier numérique installé sur un serveur web. Son rôle est d’établir une connexion chiffrée entre ce serveur et le navigateur de l’utilisateur, de sorte que les données échangées ne puissent pas être interceptées ou modifiées en transit.

Ce chiffrement fonctionne sur un mécanisme d’authentification préalable. Avant d’établir la connexion, le navigateur vérifie que le certificat a bien été émis par une autorité de certification reconnue (Let’s Encrypt, DigiCert ou Sectigo, par exemple). La vérification garantit que vous communiquez bien avec le serveur que vous croyez joindre et non avec un intermédiaire malveillant.

Ce processus fait passer l’URL de HTTP à HTTPS. Le « S » ne signifie pas que le site est fiable dans son contenu, mais que la connexion elle-même est sécurisée. Ainsi, un formulaire de contact, un paiement en ligne ou une simple session authentifiée transmettent des données chiffrées que seul le serveur destinataire peut déchiffrer.

SSL et hébergement : ce que vous devez vérifier

Les hébergeurs web ne vont pas gérer le SSL de la même façon. Certains l’incluent dans l’offre sans configuration, alors que d’autres le facturent en option ou vous laissent l’installer manuellement. C’est un point à vérifier avant de souscrire.

Le renouvellement automatique est aussi important que l’installation. Un certificat SSL a une durée de validité limitée de 90 jours pour Let’s Encrypt ou d’un an pour les certificats commerciaux. S’il expire sans renouvellement, le navigateur affiche immédiatement une alerte bloquante. Chez l’hébergeur infogérant Gladhost par exemple, le certificat SSL est inclus et renouvelé automatiquement, ce qui évite ce type d’incident sans intervention de votre part.

Si votre site utilise un CDN, vérifiez que le HTTPS est bien maintenu sur l’ensemble de la chaîne. Une connexion chiffrée entre le visiteur et le CDN ne garantit pas que le trafic entre le CDN et votre serveur d’origine l’est aussi.

Pourquoi le certificat SSL est devenu obligatoire pour un site ?

La confiance utilisateur est la première raison. Depuis que Chrome affiche « Non sécurisé » sur les pages HTTP, le taux d’abandon sur ces sites a augmenté de façon démesurée. Un visiteur qui voit cette mention sur une page de paiement ou un formulaire d’inscription ne va pas chercher à comprendre et va quitter le site.

Le référencement est le deuxième argument. Google a officiellement intégré le HTTPS comme signal de classement en 2014, soit il y a déjà plus de 12 ans. Google pense à la sécurité de ses utilisateurs, donc la présence ou l’absence de SSL fait largement la différence.

La sécurité des données est justement le troisième angle. Sans chiffrement, toute donnée transmise via un formulaire comme l’identifiant, le mot de passe ou le numéro de carte, circule en clair sur le réseau. Sur un réseau wifi public, elle est lisible par n’importe qui disposant d’un outil d’interception basique. Le SSL ne protège pas contre toutes les formes d’attaque, mais il supprime cette vulnérabilité.

Les types de certificats SSL : lequel choisir ?

Il en existe trois niveaux, qui correspondent à des besoins différents.

Le certificat DV est le plus répandu. C’est celui que délivre Let’s Encrypt gratuitement et automatiquement. Il suffit pour la grande majorité des sites, y compris les boutiques en ligne.

L’OV et l’EV impliquent une vérification manuelle de l’organisation demandeuse. Le niveau de confiance affiché dans le navigateur est légèrement supérieur, mais la différence visuelle s’est réduite depuis que Chrome a supprimé l’affichage du nom de l’entreprise dans la barre d’adresse en 2019.

Pour un site standard, un certificat DV renouvelé automatiquement suffit. Les certificats OV ou EV se justifient surtout lorsque la réglementation sectorielle ou la politique interne de l’organisation l’impose.

FAQ sur le certificat SSL

Un certificat SSL protège-t-il contre le piratage du site ?

Non, le SSL sécurise uniquement le transit des données entre le navigateur et le serveur. Il ne protège pas contre les intrusions sur le serveur lui-même, les injections SQL, les failles applicatives ou les accès non autorisés au back-office. Un site en HTTPS peut tout à fait être piraté si son code ou son infrastructure présente des vulnérabilités par ailleurs.

Peut-on avoir plusieurs certificats SSL sur un même serveur ?

Oui, un serveur peut héberger plusieurs domaines avec chacun leur propre certificat SSL. Il est également possible d’utiliser un certificat wildcard, qui couvre un domaine principal et l’ensemble de ses sous-domaines avec un seul certificat. C’est une option pratique pour les structures qui gèrent plusieurs environnements ou plusieurs versions linguistiques d’un même site.

Un certificat SSL ralentit-il le chargement des pages ?

La poignée de main SSL lors de l’établissement de la connexion ajoute quelques millisecondes au premier chargement. Avec HTTP/2, qui nécessite HTTPS, les performances sont globalement meilleures qu’en HTTP/1.1. Le passage au HTTPS n’a donc aucun impact négatif mesurable sur les temps de chargement dans les conditions normales d’utilisation.

Que se passe-t-il si je migre mon site de HTTP vers HTTPS sans redirection ?

Les pages HTTP et HTTPS sont considérées comme deux URLs distinctes par Google. Sans redirections 301 configurées, vous perdez le bénéfice SEO accumulé sur vos anciennes URLs et risquez de créer du contenu dupliqué. La migration doit s’accompagner d’une redirection systématique de toutes les URLs HTTP vers leur équivalent HTTPS.