C’est quoi un certificat SSL ? Le cadenas qui rassure vos visiteurs (et Google)
Un certificat SSL est un fichier numérique qui chiffre les échanges entre le navigateur d’un visiteur et un site web, matérialisé par le cadenas et le protocole HTTPS dans la barre d’adresse. Sans lui, les données transmises (mots de passe, formulaires, paiements) circulent en clair et peuvent être interceptées.
Un certificat SSL chiffre les échanges entre votre site et vos visiteurs, affiche le cadenas HTTPS dans le navigateur, et constitue un prérequis technique reconnu par Google pour le référencement.
Un certificat SSL, c’est quoi exactement ?
Un certificat SSL (Secure Sockets Layer, remplacé en pratique par le protocole plus récent TLS mais le terme SSL est resté dans l’usage) est un fichier délivré par une autorité de certification qui atteste de l’identité d’un site et permet de chiffrer les données échangées entre ce site et le navigateur de chaque visiteur.
Les données transmises (mots de passe, formulaires) deviennent illisibles pour un tiers qui les intercepterait.
L’indicateur visuel dans le navigateur qui confirme au visiteur que la connexion est sécurisée.
L’organisme qui vérifie et délivre le certificat, comme Let’s Encrypt ou Sectigo.
Concrètement, un site sans certificat SSL s’affiche en HTTP et déclenche un avertissement « Connexion non sécurisée » dans la plupart des navigateurs modernes, ce qui dissuade fortement les visiteurs de poursuivre leur navigation.
Quels sont les différents types de certificats SSL ?
Tous les certificats SSL ne vérifient pas le même niveau d’information sur le propriétaire du site.
| Type | Vérification effectuée | Usage typique |
|---|---|---|
| DV (Domain Validation) | Propriété du nom de domaine uniquement | Sites vitrines, blogs, la majorité des sites WordPress |
| OV (Organization Validation) | Identité de l’entreprise vérifiée | Sites professionnels affichant une marque |
| EV (Extended Validation) | Vérification juridique approfondie de l’entreprise | Banques, e-commerce à fort enjeu de confiance |
Pour la grande majorité des sites WordPress, un certificat DV gratuit via Let’s Encrypt (proposé automatiquement par la plupart des hébergeurs web) suffit amplement.
Quel est l’impact du SSL sur le SEO et la confiance ?
Google a officiellement confirmé en août 2014 que le HTTPS constitue un signal de classement pris en compte dans son algorithme, même si son poids reste modeste face au contenu et aux liens. Son impact le plus direct reste toutefois la confiance : un site sans cadenas affiche un avertissement qui fait fuir une partie des visiteurs avant même qu’ils ne lisent le contenu.
Bénéfices du HTTPS
- Signal de confiance immédiat pour le visiteur, sans avertissement du navigateur.
- Léger signal positif pour le référencement Google depuis 2014.
- Prérequis technique pour certaines fonctionnalités modernes du web (paiement en ligne, géolocalisation).
Limites à connaître
- Le SSL seul ne suffit pas à améliorer un mauvais référencement.
- Un certificat expiré casse la confiance instantanément, pire que son absence initiale.
- Le chiffrement protège le transport des données, pas leur stockage côté serveur.
Comment installer et vérifier son certificat SSL ?
- 1. Vérifier l’offre de l’hébergeurLa quasi-totalité des hébergeurs mutualisés incluent un certificat Let’s Encrypt gratuit et son renouvellement automatique.
- 2. Activer le certificatGénéralement en un clic depuis le panneau d’administration de l’hébergement.
- 3. Forcer la redirection HTTPSPour que toutes les anciennes URL en HTTP redirigent automatiquement vers la version sécurisée.
- 4. Vérifier le renouvellement automatiqueUn certificat Let’s Encrypt expire tous les 90 jours et doit être renouvelé sans interruption.
Si le renouvellement automatique échoue, les navigateurs affichent un avertissement de sécurité qui empêche la plupart des visiteurs d’accéder au contenu tant que le certificat n’est pas renouvelé.
Ce que nous observons chez les sites que nous accompagnons
Voici un exemple représentatif de notre pratique, sans donnée client ni chiffre inventé.
Le renouvellement automatique n’est pas toujours aussi automatique qu’annoncé
Lors des audits de sites que nous réalisons, il arrive qu’un changement d’hébergeur ou de configuration DNS ait discrètement cassé le renouvellement automatique du certificat, sans que le propriétaire du site en soit averti avant l’expiration : surveiller la date d’expiration du certificat fait partie de notre check-list de maintenance.
Erreurs fréquentes à éviter
Bonnes pratiques
- Vérifier que le certificat couvre bien le domaine et ses sous-domaines utilisés (www inclus).
- Forcer la redirection HTTP vers HTTPS sur l’ensemble du site.
- Surveiller la date d’expiration, même avec un renouvellement automatique annoncé.
Erreurs qui coûtent cher
- Laisser du contenu mixte (images ou scripts encore chargés en HTTP) qui casse le cadenas.
- Changer d’hébergeur sans vérifier que le certificat suit ou se régénère correctement.
- Ignorer un avertissement de certificat en pensant qu’il se résoudra seul.
Quels contenus lire ensuite ?
Ces ressources complètent cette définition sans cibler la même requête :
Questions fréquentes sur le certificat SSL
Le certificat SSL est-il obligatoire pour un site WordPress ?
Il n’est pas légalement obligatoire, mais il est fortement recommandé : la plupart des navigateurs affichent un avertissement de sécurité sur les sites en HTTP, ce qui nuit fortement à la confiance des visiteurs.
Un certificat SSL gratuit est-il aussi sécurisé qu’un certificat payant ?
Oui, sur le plan du chiffrement technique, un certificat DV gratuit comme Let’s Encrypt offre le même niveau de protection qu’un certificat payant ; seuls les certificats OV et EV ajoutent une vérification d’identité de l’entreprise.
Que se passe-t-il si mon certificat SSL expire ?
Les visiteurs voient un avertissement de sécurité bloquant dans leur navigateur et la majorité renoncent à poursuivre ; il faut renouveler le certificat immédiatement pour rétablir l’accès normal au site.
Le SSL protège-t-il complètement mon site contre le piratage ?
Non, il sécurise uniquement le transport des données entre le site et le visiteur ; la sécurité globale du site dépend aussi des mises à jour, des mots de passe et de la configuration du serveur.
Faut-il un certificat différent pour chaque sous-domaine ?
Cela dépend du type de certificat : un certificat wildcard couvre tous les sous-domaines d’un domaine, tandis qu’un certificat classique doit être étendu ou dupliqué pour chaque sous-domaine utilisé.