Pourquoi votre site doit être en HTTPS, et comment le faire
Un site sans HTTPS perd des visiteurs avant même d'avoir été lu : le navigateur affiche un avertissement, et Google le classe moins bien. L'opération est pourtant rapide et sans risque quand elle est menée dans le bon ordre. Voici lequel.
Ce que le cadenas protège, et ce qu'il ne protège pas
Le cadenas garantit deux choses : les données échangées entre le visiteur et votre site sont chiffrées, et le nom de domaine a été vérifié. Sans lui, un mot de passe, un formulaire de contact ou un numéro de téléphone transitent en clair et peuvent être lus sur le trajet — en particulier sur un réseau sans fil partagé.
Ce qu'il ne garantit pas : que le site soit sain. Un site piraté affiche parfaitement un cadenas. Le certificat est une base indispensable, pas une protection complète : il se complète par les mises à jour, le pare-feu applicatif et les sauvegardes.
L'effet concret sur votre visibilité
Google utilise HTTPS comme critère de classement depuis plus de dix ans. L'effet direct reste modéré, mais l'effet indirect est massif : les navigateurs affichent un avertissement « site non sécurisé » bien visible, et une partie des visiteurs renoncent immédiatement.
Pour un site d'entreprise, le préjudice est d'abord d'image. Un prospect qui voit un avertissement de sécurité sur le site d'un prestataire informatique tire une conclusion immédiate, et elle est difficile à rattraper.
Quel certificat pour quel usage
Trois niveaux existent, et le plus cher n'est pas toujours le bon. Le certificat à validation de domaine prouve que vous contrôlez le domaine : il convient à un site vitrine ou un blog. Le certificat à validation d'organisation vérifie en plus l'existence légale de votre société : c'est le choix courant pour un site d'entreprise, un extranet ou un espace client. Le certificat à validation étendue impose un contrôle approfondi et s'adresse aux sites manipulant des paiements ou des données sensibles.
Deux variantes utiles : le certificat multi-domaines, qui couvre plusieurs sites, et le certificat joker, qui couvre tous les sous-domaines d'un même domaine — souvent le plus économique dès qu'il existe un intranet, une messagerie web et un site public.
La migration, dans le bon ordre
Passer en HTTPS mal fait coûte des positions dans Google. Trois erreurs reviennent sans cesse : laisser les deux versions accessibles sans redirection — le site existe alors en double aux yeux de Google ; oublier les images, scripts et feuilles de style encore appelés en HTTP, ce qui fait disparaître le cadenas ; et ne pas déclarer la nouvelle version dans Search Console.
Le bon ordre : installer le certificat, corriger les contenus mixtes, mettre en place une redirection permanente de toutes les anciennes adresses vers les nouvelles, mettre à jour les adresses internes et le plan du site, puis déclarer la version HTTPS dans Search Console et y renvoyer le plan du site. Fait ainsi, le transfert de notoriété est complet.
L'expiration : la panne la plus fréquente
L'incident que nous dépannons le plus souvent n'est pas une attaque, c'est un certificat expiré. Du jour au lendemain, les visiteurs voient un écran rouge, la messagerie refuse de se connecter, l'application métier cesse de répondre.
Les durées de validité raccourcissent d'année en année, et la personne qui avait installé le certificat a souvent changé de poste. Sous contrat, nous suivons les échéances, renouvelons avant expiration et vérifions la chaîne complète sur tous les serveurs — y compris ceux auxquels personne ne pense : pare-feu, serveur de messagerie, portail d'accès distant.
Ce que nous prenons en charge
- Choix du certificat adapté à votre usage réel
- Installation sur le serveur web, la messagerie et les équipements concernés
- Correction des contenus mixtes et des liens internes
- Redirections permanentes et mise à jour du plan du site
- Déclaration de la version HTTPS dans Google Search Console
- Suivi des échéances et renouvellement avant expiration
Questions fréquentes
Pour un site vitrine, techniquement oui : le chiffrement est le même. Les différences portent sur la vérification de votre société, la durée de validité, la couverture de plusieurs domaines et le support en cas de problème. Pour un site d'entreprise ou un espace client, la validation d'organisation apporte une garantie qui se voit.
Seulement s'il est mal fait : absence de redirections, contenus mixtes, plan du site non mis à jour. Mené dans l'ordre décrit ici, le transfert de notoriété est complet et le classement n'est pas affecté, il s'améliore généralement.
L'installation elle-même se compte en minutes. Ce qui prend du temps, c'est la correction des contenus encore appelés en HTTP et la vérification de toutes les adresses, en particulier sur un site ancien. L'opération se mène sans interruption de service.
Un navigateur affiche la date d'expiration en cliquant sur le cadenas. Mais compter sur une vérification manuelle est précisément ce qui provoque les pannes : la surveillance automatique des échéances fait partie de notre contrat de maintenance, sur tous les serveurs concernés.