HTTPS et certificat SSL : pourquoi votre site doit être sécurisé
HTTPS est-il obligatoire pour un site web en France ? Ce que disent la CNIL et Chrome, le prix d’un certificat SSL et les erreurs qui cassent le cadenas.
Un site en HTTP affiche la mention « Non sécurisé » dans Chrome depuis 2018, et Google prévoit d’aller plus loin fin 2026 : le navigateur demandera une confirmation avant d’ouvrir un site public sans HTTPS. Pour une PME, la question n’est plus « faut-il passer en HTTPS ? » mais « est-ce bien fait, et est-ce que ça tient dans le temps ? ». Ce guide répond aux deux : ce que la CNIL et les navigateurs attendent, ce que coûte un certificat SSL, et les erreurs que nous voyons le plus souvent lors de nos audits.
HTTPS, SSL, TLS : de quoi parle-t-on ?
HTTPS est la version sécurisée du protocole qui transporte vos pages web. Il repose sur un certificat qui prouve que le site est bien le vôtre, et sur un chiffrement (TLS) qui rend les échanges illisibles pour un tiers.
Trois mots désignent presque la même chose :
- HTTPS : le « S » signifie « sécurisé ». C’est le cadenas dans la barre d’adresse.
- SSL : l’ancien nom de la technologie de chiffrement. On dit encore « certificat SSL » par habitude, mais SSL lui-même est abandonné.
- TLS : son remplaçant, réellement utilisé aujourd’hui. Les versions à jour sont TLS 1.2 et 1.3.
Selon web.dev (le site de documentation de Google pour les développeurs), HTTPS protège deux choses : l’intégrité (personne ne peut modifier la page en route pour y glisser un faux formulaire) et la confidentialité (personne ne peut lire ce qui s’échange). Les fonctions modernes du navigateur (géolocalisation, caméra, application installable) ne sont d’ailleurs disponibles qu’en HTTPS.
Le HTTPS est-il obligatoire pour un site web en France ?
Oui en pratique, même si aucun texte ne l’écrit sous cette forme. Le RGPD impose de protéger les données personnelles par des mesures de sécurité adaptées, et la CNIL traduit cette obligation en recommandations précises : TLS 1.2 ou 1.3, rendu obligatoire sur toutes les pages.
Voici ce que dit la fiche de la CNIL sur la sécurité des sites web, applications et serveurs :
- « Mettez en œuvre le protocole TLS version 1.2 ou 1.3 (en remplacement de SSL) » sur tous les sites web et pour les échanges de vos applications mobiles.
- « Rendez l’utilisation de TLS obligatoire pour toutes les pages de votre site », pas seulement sur la page de connexion ou le panier.
- Pour les cookies de session, forcer HTTPS via HSTS (un en-tête qui dit au navigateur de ne jamais revenir en HTTP) et utiliser l’indicateur « Secure ».
Un site vitrine avec un formulaire de contact en HTTP ne respecte donc pas l’état de l’art attendu par la CNIL. Le reste de vos obligations est dans notre guide RGPD et cookies pour une PME.
Ce que les navigateurs imposent, indépendamment de la loi
Les navigateurs ont fait le travail que la loi n’a pas écrit. Depuis Chrome 68, sorti en juillet 2018, toutes les pages HTTP affichent « Non sécurisé » à gauche de l’adresse (annonce sur le blog Chromium, février 2018).
Google a annoncé l’étape suivante en octobre 2025 : le réglage « Toujours utiliser des connexions sécurisées » sera activé par défaut pour les sites publics avec Chrome 154, prévu en octobre 2026. Chrome tentera chaque connexion en HTTPS et, si le site ne le propose pas, affichera un avertissement que le visiteur devra accepter avant d’entrer. Dans le même billet, Google indique que plus de 95 % des pages ouvertes dans Chrome le sont déjà en HTTPS.
Ce que HTTPS change pour Google et pour les IA
HTTPS est un signal de classement, léger mais réel, et surtout une condition de confiance : un site « Non sécurisé » perd des clics avant même d’être lu.
Google a annoncé en août 2014 sur son blog Search Central que HTTPS devenait un signal de classement, en précisant qu’il s’agissait d’un signal « très léger », pesant moins que la qualité du contenu. Passer en HTTPS ne fera pas remonter un site mal construit. Mais rester en HTTP, c’est cumuler un signal négatif et un avertissement dans le navigateur.
Pour les assistants IA (ChatGPT, Perplexity, les aperçus IA de Google), nous n’avons pas de chiffre, et nous n’en inventons pas. Ces outils s’appuient sur l’index de Google ou de Bing et sur leurs propres robots. Un site qui redirige proprement vers HTTPS, avec une seule version de chaque page, est plus simple à lire et à citer qu’un site qui existe en quatre versions (http, https, avec et sans www). Pour aller plus loin, lisez GEO ou SEO : quelle différence.
Combien coûte un certificat SSL et comment l’obtenir
Un certificat peut être gratuit. Let’s Encrypt, une autorité de certification à but non lucratif, délivre des certificats sans frais, valables 90 jours, renouvelés automatiquement. La plupart des hébergeurs et des plateformes (Webflow, Shopify, Vercel, OVHcloud, o2switch) l’intègrent sans réglage.
Il existe trois niveaux de certificats. Pour une PME, le premier suffit presque toujours :
| Type | Ce qu’il vérifie | Pour qui |
|---|---|---|
| DV (validation de domaine) | Que vous contrôlez le nom de domaine | Sites vitrines, blogs, la plupart des boutiques |
| OV (validation d’organisation) | Le domaine et l’existence de l’entreprise | Grands comptes, exigences internes |
| EV (validation étendue) | Des contrôles plus poussés sur l’entreprise | Banques, secteurs réglementés |
Le chiffrement est identique dans les trois cas, et le cadenas s’affiche de la même façon. Payer un certificat OV ou EV n’apporte rien à un cabinet ou à un restaurant.
Le vrai sujet : la durée de vie qui raccourcit
Le CA/Browser Forum (l’organisme qui réunit autorités de certification et éditeurs de navigateurs) a voté en avril 2025 un calendrier de réduction de la durée maximale des certificats : de 398 jours à 200 jours depuis le 15 mars 2026, puis 100 jours en mars 2027 et 47 jours en mars 2029. Let’s Encrypt propose déjà des certificats de six jours.
Conséquence : renouveler « à la main » une fois par an ne sera bientôt plus possible. Si votre hébergeur ne renouvelle pas automatiquement, un matin le cadenas devient un écran rouge « Votre connexion n’est pas privée ». Vérifiez ce point avant de choisir : il figure dans notre guide Hébergement de site web : comment choisir.
Les erreurs qui cassent un site « sécurisé »
Le certificat installé, le travail n’est pas fini. Cinq erreurs reviennent dans une bonne part des sites que nous analysons, et chacune fait disparaître le cadenas ou crée des doublons pour Google.
- Le contenu mixte. La page est en HTTPS, mais une image, un script ou une police est encore chargé en http://. Le navigateur bloque la ressource ou retire le cadenas. Cause classique : un ancien thème WordPress ou des images insérées avec leur adresse complète.
- Pas de redirection. Les deux versions du site répondent, et Google voit deux sites identiques. Selon web.dev, il faut une redirection 301 (permanente) de chaque page HTTP vers son équivalent HTTPS. Nous l’expliquons dans le guide des redirections 301.
- Des liens internes encore en HTTP. Chaque clic interne passe alors par un détour. Remplacez-les dans le CMS.
- La balise canonical oubliée. Google recommande une balise canonical en https:// sur chaque page, pour désigner la version à indexer.
- Un certificat qui ne couvre pas tous les noms. Un certificat pour « monsite.fr » ne couvre pas forcément « www.monsite.fr ». Les deux doivent être inclus.
Ajoutez l’en-tête HSTS, recommandé par la CNIL et par Google, et déclarez la propriété en https dans Google Search Console : les données de l’ancienne version ne basculent pas seules.
Pour vérifier tout ça en deux minutes, notre outil d’analyse gratuit teste le certificat, les redirections et le contenu mixte de votre site, avec les corrections à apporter.
Ce que fait l’agence Resolve
Notre avis : HTTPS est le point de départ, pas un argument de vente. Un prestataire qui facture « la sécurisation SSL » à part sur un site neuf vend ce que l’hébergement fournit déjà.
Chez l’agence Resolve (Re:solve), chaque site livré part en HTTPS avec redirections, canonical, HSTS et renouvellement automatique : ce sont les bases SEO d’un site, pas une option. Sur une refonte, l’audit offert liste d’abord les pages encore en HTTP, les ressources mixtes et les redirections manquantes, avant de toucher au design. Un restaurant qui prend des réservations, un cabinet qui reçoit des documents par formulaire : tous deux manipulent des données que la CNIL vous demande de chiffrer.
Questions fréquentes
Mon site est une simple vitrine sans formulaire. Ai-je besoin de HTTPS ?
Oui. Chrome affiche « Non sécurisé » sur toute page HTTP et prévoit un avertissement à partir de fin 2026. Sans HTTPS, un intermédiaire sur un Wi-Fi public peut modifier votre page avant qu’elle n’arrive chez le visiteur.
Un certificat gratuit est-il moins sûr qu’un certificat payant ?
Non. Le chiffrement est le même. Un certificat payant OV ou EV vérifie l’identité de l’entreprise, ce qui n’apparaît plus de façon visible dans les navigateurs. Pour une PME, un certificat Let’s Encrypt renouvelé automatiquement fait le travail.
Passer en HTTPS va-t-il faire baisser mon référencement ?
Pas si la bascule est propre : redirections 301 page par page, liens internes mis à jour, canonical en https, sitemap et Search Console à jour. Google traite ce passage comme un changement d’adresse. Sans redirections, vous perdez l’historique de vos pages.
