HTTPS et certificat SSL : protéger la connexion à un site

HTTP et HTTPS

HTTP est le protocole utilisé par un navigateur pour demander une page à un site. HTTPS est la version protégée de cette communication : le S renvoie à une connexion sécurisée. HTTPS chiffre les données pendant leur trajet entre le navigateur et le serveur.

Sans cette protection, ce qui circule peut être plus exposé. C’est particulièrement important pour un formulaire, une connexion, un paiement ou une information personnelle. HTTPS est aujourd’hui la norme pour les sites publics, pas une option réservée aux boutiques en ligne. Le guide du navigateur au serveur situe ce trajet sans en répéter toutes les étapes.

HTTPS protège principalement les données en transit. Il ne protège pas automatiquement ce qui se passe avant l’envoi, après réception, dans la base de données ou sur l’ordinateur d’une personne infecté.

SSL, TLS et le certificat

L’expression « certificat SSL » reste très courante. Les connexions HTTPS modernes utilisent en pratique TLS ; parler de certificat SSL/TLS aide souvent à rester compréhensible sans masquer cette évolution.

Un certificat aide le navigateur à vérifier l’identité du domaine contacté et participe à l’établissement d’une connexion chiffrée. Il est associé à un ou plusieurs noms de domaine précis. Imaginez une carte d’identité destinée au navigateur : elle aide à contrôler la destination de la connexion, sans certifier l’honnêteté de l’organisation ni la qualité de son contenu.

Ce que confirme réellement le cadenas

Le cadenas protège la connexion, pas toute la confiance

Le cadenas ou l’indication HTTPS signifie généralement que la connexion est chiffrée et que le navigateur a pu valider le certificat pour le domaine visité. Les indicateurs visibles peuvent évoluer selon le navigateur.

Il ne prouve pas que le site est sérieux, que l’entreprise est fiable, que le contenu est vrai, qu’aucun logiciel malveillant n’est présent, que les mots de passe sont bien gérés ou que le site est protégé contre toutes les attaques.

Qui délivre et vérifie le certificat

Un certificat peut être émis par une autorité de certification reconnue. Avant d’accepter la connexion, le navigateur vérifie plusieurs éléments. Le domaine doit être contrôlé ou validé selon le type de certificat.

L’hébergeur ou la plateforme peut souvent automatiser l’installation et le renouvellement. Automatique ne veut pas dire qu’il ne faut jamais contrôler : un problème de domaine, de DNS, de renouvellement ou de configuration peut empêcher HTTPS de fonctionner.

Certificat gratuit ou payant

Question	Réponse utile
Chiffrement	Un certificat gratuit peut fournir le même niveau de chiffrement qu’un certificat payant comparable.
Prix	Le prix ne prouve pas, à lui seul, une sécurité supérieure.
Différences possibles	Elles peuvent concerner l’accompagnement, l’automatisation, la validation d’identité, la gestion ou des services associés.
Choix	Il dépend de l’hébergement, du projet et du niveau d’accompagnement souhaité.

Erreurs de certificat et réactions prudentes

Un visiteur peut rencontrer un certificat expiré, un certificat non valide pour le domaine, un avertissement de sécurité du navigateur ou une connexion annoncée comme non sécurisée.

Ne contournez pas un avertissement inattendu sur un site connu, surtout avant un mot de passe ou un paiement.
Vérifiez l’adresse exacte du domaine.
Prévenez le propriétaire du site ou son hébergeur.
Côté propriétaire, vérifiez le renouvellement, le domaine concerné et la configuration de l’hébergement.

Passer un site en HTTPS et éviter les incohérences

Le principe est simple : les URL du site doivent utiliser HTTPS, les visiteurs doivent être redirigés de HTTP vers HTTPS et les ressources importantes doivent elles aussi être chargées de façon sécurisée. Un contenu encore chargé en HTTP est appelé contenu mixte ; il peut provoquer une alerte ou être bloqué par le navigateur.

La correction concrète dépend de l’hébergement ou du projet. Le guide sur l’hébergeur et le serveur aide à situer qui peut intervenir, tandis que le guide sur le serveur web explique son rôle général.

Ce que HTTPS ne remplace pas

Des mots de passe solides.
Des accès limités selon les rôles.
Des mises à jour et des sauvegardes.
La protection contre les failles.
La vérification de la fiabilité d’un site avant d’y transmettre des données.

HTTPS ne doit pas être confondu avec FTPS ou SFTP : ces protocoles protègent des transferts de fichiers, comme l’explique le guide FTP, FTPS et SFTP. Après un déploiement, il reste aussi utile de vérifier le résultat en production, comme le rappelle le guide sur le déploiement.

Le prochain guide abordera les mots de passe, permissions et accès au site.

Ce qu’il faut retenir

HTTPS chiffre la communication entre le navigateur et le serveur.
Un certificat SSL/TLS aide le navigateur à vérifier le domaine contacté.
Le cadenas ne prouve pas qu’un site est fiable ou sans faille.
Un certificat gratuit peut fournir le même chiffrement qu’un certificat payant comparable.
Une alerte de certificat inattendue mérite de s’arrêter et de vérifier.

Questions fréquentes

HTTPS protège la communication entre le navigateur et le serveur par chiffrement, contrairement à HTTP seul.

SSL est le terme historique encore très utilisé. Les connexions HTTPS modernes utilisent en pratique TLS.

Non. Il indique surtout une connexion chiffrée avec un certificat validé pour le domaine, pas la fiabilité générale du site.

Pas nécessairement. Un certificat gratuit peut offrir le même niveau de chiffrement qu’un certificat payant comparable.

Ne la contournez pas par réflexe. Vérifiez le domaine et demandez confirmation au propriétaire ou à l’hébergeur avant de transmettre une donnée sensible.