Certificat SSL et HTTPS : comprendre et protéger vos connexions
À quoi sert un certificat SSL/TLS ? Comment l’activer, vérifier sa validité et éviter les erreurs courantes ? Les repères essentiels pour votre site web.
L’essentiel à retenir
HTTPS chiffre les échanges entre le navigateur et le serveur. Le certificat permet au navigateur de vérifier le nom du serveur et la confiance accordée à son certificat.
Une connexion chiffrée ne garantit pas qu’un site est honnête ou exempt de failles. Vérifiez aussi son adresse et protégez votre site, vos accès et votre domaine.
1. SSL, TLS et HTTPS : quelle différence ?
« Certificat SSL » est le nom couramment utilisé. Les connexions modernes reposent sur TLS, le successeur de SSL. HTTPS est la version de HTTP qui utilise TLS pour protéger la connexion.
- Confidentialité : les données échangées sur cette connexion sont chiffrées.
- Intégrité : le protocole aide à détecter une modification des données pendant leur transport.
- Authentification : le navigateur contrôle notamment que le certificat est valide pour le nom demandé et qu’il provient d’une chaîne de confiance reconnue.
Cette protection est particulièrement importante pour les connexions à un compte, les formulaires et les boutiques en ligne. Elle ne remplace pas la sécurité du serveur ou de l’application.
2. Ce qu’un certificat ne garantit pas
HTTPS protège le transport des données, pas l’ensemble des usages que le site en fait ensuite.
- Un site frauduleux peut lui aussi utiliser HTTPS : contrôlez le nom de domaine avant de saisir vos informations.
- Un certificat ne supprime pas les logiciels malveillants et ne corrige pas les failles de WordPress ou de ses extensions.
- Il ne protège pas, à lui seul, les données stockées sur le serveur ou le compte qui gère votre domaine.
3. Quel certificat choisir pour votre site ?
Commencez par les adresses à couvrir
Vérifiez que le certificat couvre les noms réellement utilisés : par exemple exemple.ml et www.exemple.ml. Un certificat pour une adresse ne couvre pas automatiquement toutes les autres.
- Un ou plusieurs noms : certains certificats couvrent plusieurs adresses explicitement indiquées.
- Wildcard : un certificat pour *.exemple.ml couvre des sous-domaines de ce niveau, comme boutique.exemple.ml ; le domaine exemple.ml doit également être prévu s’il est utilisé.
Comprenez le niveau de validation
La validation de domaine (DV) vérifie le contrôle du domaine. Les validations d’organisation (OV) et étendue (EV) ajoutent des vérifications sur l’organisation. Elles ne signifient pas que la connexion bénéficie automatiquement d’un chiffrement plus fort.
Let’s Encrypt délivre gratuitement des certificats DV. Selon votre hébergement, leur installation et leur gestion peuvent être prises en charge par le prestataire ou nécessiter une configuration de votre part.
4. Mettre HTTPS en place, étape par étape
- Vérifiez le domaine : les DNS et l’hébergement doivent permettre la validation du nom demandé.
- Émettez et installez le certificat : utilisez les fonctions proposées par votre hébergement, ou un client ACME adapté à votre serveur.
- Contrôlez HTTPS : vérifiez les pages et les noms utilisés avant de modifier les redirections.
- Redirigez HTTP vers HTTPS : configurez une redirection cohérente, sans boucle entre l’hébergement, WordPress et un éventuel proxy/CDN.
- Corrigez les ressources HTTP : images, scripts et feuilles de style doivent eux aussi être chargés de manière sécurisée.
Sur WordPress, sauvegardez le site et sa base de données avant de modifier les adresses ou de remplacer des liens. Une extension qui réécrit les URLs ne remplace pas un certificat valide sur le serveur.
Sur un VPS non infogéré : l’installation, la configuration et le renouvellement relèvent de l’administration de votre serveur. Demandez conseil avant une intervention si vous n’êtes pas à l’aise avec ces opérations.
5. Vérifier la connexion et surveiller le renouvellement
Ouvrez votre site en HTTPS puis consultez les informations de connexion proposées par le navigateur près de l’adresse. Leur emplacement et leur icône varient selon le navigateur : l’absence de cadenas n’indique pas, à elle seule, une anomalie.
- Vérifiez les noms couverts, les dates de validité et l’absence d’avertissement.
- Contrôlez le domaine principal, www et les sous-domaines effectivement utilisés.
- Surveillez les notifications et l’état du renouvellement automatique s’il est configuré.
- Après une migration ou un changement de DNS, vérifiez à nouveau le certificat et la procédure de renouvellement.
Les certificats ont une durée limitée. L’automatisation doit rester opérationnelle : une erreur de validation, de DNS ou de configuration peut empêcher un renouvellement.
6. Que faire si le navigateur affiche une erreur ?
Certificat expiré ou nom incorrect
Relevez le message et l’adresse exacte. Faites vérifier les dates, les noms couverts et le certificat réellement présenté par le serveur, ainsi que la date et l’heure de votre appareil.
Contenu mixte
Une page HTTPS peut encore appeler des images ou des scripts en HTTP. Certains contenus peuvent être bloqués ou provoquer des alertes. Identifiez les ressources concernées et utilisez leur version HTTPS lorsqu’elle existe.
Boucle de redirection
Des réglages contradictoires entre WordPress, l’hébergement et un proxy peuvent provoquer des redirections répétées. Faites contrôler ces réglages ensemble plutôt que de multiplier les redirections.
7. Votre liste de vérification HTTPS
- Le certificat est valide pour toutes les adresses utilisées.
- Le navigateur n’affiche aucun avertissement de certificat.
- Les pages et leurs ressources se chargent en HTTPS.
- Les redirections depuis HTTP fonctionnent sans boucle.
- Les formulaires et la connexion au compte fonctionnent correctement.
- Le renouvellement est configuré et son état est surveillé.
- Le site, ses extensions et les comptes d’administration restent protégés.
Questions fréquentes
Un certificat gratuit peut-il convenir à un site professionnel ?
Oui, un certificat DV reconnu peut convenir à de nombreux sites professionnels. Le choix dépend surtout des noms à couvrir, des exigences du projet et des conditions de gestion. Let’s Encrypt délivre des certificats DV gratuitement.
HTTPS empêche-t-il le phishing ?
Non. Un site frauduleux peut avoir un certificat valide. Vérifiez toujours l’adresse du site et l’origine d’une demande avant de transmettre des informations.
Pourquoi mon site reste-t-il signalé après l’installation ?
Le certificat peut ne pas couvrir le nom utilisé, être mal installé ou avoir expiré. Il peut aussi rester des contenus HTTP ou une configuration de redirection incorrecte. Le message exact du navigateur permet d’orienter le diagnostic.
Dois-je acheter un certificat pour mon hébergement ADHOSTER ?
Les offres mutualisées présentent déjà un SSL inclus. Vérifiez son activation et sa couverture avec le support avant tout achat supplémentaire. Les besoins particuliers doivent être examinés au cas par cas.
Besoin d’aide pour votre connexion HTTPS ?
Transmettez au support le nom du domaine et le message affiché, sans communiquer de mot de passe ni de clé privée.
Contacter le support →