Certificat SSL

Qu’est-ce qu’un certificat SSL?

Un certificat SSL est un petit fichier numérique, délivré par une autorité de certification (AC) de confiance, qui associe un nom de domaine à une clé publique cryptographique. Le navigateur peut ainsi confirmer qu’il communique avec le vrai site et établir une connexion chiffrée. Le nom est historique : le protocole SSL d’origine est retiré depuis longtemps, et les connexions d’aujourd’hui utilisent TLS 1.2 ou TLS 1.3. « Certificat SSL » et « certificat TLS » désignent la même chose.

Quand quelqu’un visite votre site en HTTPS, votre serveur présente son certificat. Le navigateur vérifie qu’il a été signé par une AC en laquelle il a confiance, qu’il couvre exactement le nom d’hôte affiché dans la barre d’adresse et qu’il n’est ni expiré ni révoqué. Si toutes les vérifications réussissent, le navigateur et le serveur conviennent de clés de session, et tout ce qui suit (mots de passe, champs de formulaire, témoins, détails de commande) circule chiffré. Si une seule vérification échoue, le visiteur voit un avertissement de sécurité pleine page au lieu de votre site.

Pourquoi un certificat SSL est important

Un certificat valide est désormais une exigence de base pour tout site Web public, pas seulement pour les boutiques en ligne.

Confidentialité des données des visiteurs : les formulaires de contact, les connexions et les inscriptions à une infolettre transmettent tous des renseignements personnels, et la LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques) exige des organisations qu’elles les protègent par des mesures adaptées à leur degré de sensibilité.
Avertissements des navigateurs : Chrome, Safari, Firefox et Edge qualifient les pages HTTP ordinaires de « Non sécurisé », et un certificat expiré ou qui ne correspond pas au domaine affiche une page d’erreur que la plupart des visiteurs ne franchiront pas.
Visibilité dans les recherches : Google utilise le HTTPS comme léger signal de classement depuis 2014, et le HTTPS est une condition préalable à des fonctions modernes comme HTTP/2, HTTP/3 et les service workers.
Intégrité de vos pages : le chiffrement empêche des réseaux, comme le Wi-Fi public, d’injecter des publicités, des scripts ou du contenu modifié dans vos pages pendant leur transmission.
Paiements et conformité : les fournisseurs de paiement et la norme PCI DSS exigent un chiffrement robuste sur toute page qui sert à recueillir des données de carte.

Comment fonctionnent les certificats SSL

Niveau de validation : les certificats à validation de domaine (DV) prouvent seulement que vous contrôlez le domaine et sont délivrés en quelques minutes. Les certificats à validation d’organisation (OV) vérifient aussi l’entreprise légale derrière le domaine. La validation étendue (EV) ajoute des vérifications plus strictes, mais les principaux navigateurs ont cessé d’afficher le nom de l’entreprise dans la barre d’adresse en 2019; l’EV n’offre donc plus d’avantage visible aux visiteurs.
Couverture : un certificat à domaine unique couvre un seul nom d’hôte, souvent avec et sans www. Un certificat générique (*.example.ca) couvre tous les sous-domaines de premier niveau. Un certificat multidomaine (SAN) énumère plusieurs noms d’hôte précis dans un seul certificat.
Chaîne de certificats : votre certificat est signé par un certificat intermédiaire, lui-même signé par une racine à laquelle le navigateur fait déjà confiance. Le serveur doit aussi envoyer le certificat intermédiaire, sinon certains appareils refuseront la connexion.
Validité et renouvellement : les certificats expirent par conception. Les règles de l’industrie établies par le CA/Browser Forum raccourcissent par étapes la durée de vie maximale d’ici 2029, ce qui fait du renouvellement automatisé au moyen du protocole ACME (utilisé par Let’s Encrypt et de nombreux hébergeurs) la norme pratique.
Révocation et transparence : une AC peut révoquer un certificat si sa clé est compromise, et chaque certificat reconnu publiquement est consigné dans les journaux publics de Certificate Transparency, que vous pouvez consulter pour repérer les certificats délivrés pour votre domaine.

Erreurs courantes avec les certificats SSL

Renouvellements manuels : un certificat renouvelé à la main une fois par année est la cause la plus fréquente d’un site qui affiche soudainement une erreur de sécurité, généralement découverte par un client.
Contenu mixte : des images, des scripts ou des polices encore chargés en http:// sur une page HTTPS sont bloqués ou signalés par les navigateurs, ce qui peut briser la mise en page et faire disparaître l’indicateur de connexion sécurisée.
Noms d’hôte manquants : un certificat pour example.ca qui n’inclut pas www.example.ca, ou un sous-domaine de préproduction ou de boutique, déclenche une erreur de non-concordance de nom sur l’adresse non couverte.
Aucune redirection de HTTP vers HTTPS : installer un certificat en laissant la version HTTP accessible divise le trafic, duplique les pages pour les moteurs de recherche et laisse la première requête non chiffrée.
Payer pour un certificat EV pour les mauvaises raisons : acheter un certificat EV coûteux en espérant une barre verte ou un gain de confiance que les navigateurs n’affichent plus.

Bonnes pratiques pour les certificats SSL

Automatisez le renouvellement : utilisez l’intégration Let’s Encrypt ou ACME de votre hébergeur et vérifiez que le renouvellement se fait bien avant l’expiration plutôt que le dernier jour.
Surveillez l’expiration de l’extérieur : ajoutez un outil de surveillance de disponibilité ou de certificats qui vous avertit par courriel à l’approche de l’expiration ou si la chaîne change, indépendamment de votre hébergeur.
Redirigez et imposez le HTTPS : envoyez chaque requête HTTP vers HTTPS avec une seule redirection 301, mettez à jour l’URL du site dans WordPress et ajoutez un en-tête HSTS une fois certain que chaque sous-domaine prend en charge le HTTPS.
Éliminez le contenu mixte : cherchez les URL http:// codées en dur dans la base de données et le thème, et utilisez la console du navigateur pour repérer ce qui reste.
Renforcez la configuration : désactivez TLS 1.0 et 1.1, privilégiez TLS 1.3 et vérifiez le résultat avec un outil d’analyse public comme Qualys SSL Labs.
Limitez qui peut délivrer vos certificats : ajoutez dans votre DNS un enregistrement CAA qui nomme les AC autorisées à délivrer des certificats pour votre domaine.

Les certificats SSL chez PerfectPixels

Sur chaque site que nous réalisons ou entretenons, nous mettons en place le renouvellement automatisé des certificats, imposons le HTTPS avec des redirections propres et HSTS, éliminons le contenu mixte et ajoutons une surveillance de l’expiration pour qu’un certificat échu n’atteigne jamais vos visiteurs. Quand un projet comporte plusieurs sous-domaines, une migration vers un nouvel hébergement ou une boutique en ligne, nous planifions la couverture des certificats avant le jour du lancement, dans le cadre de nos services de conception et développement Web et d’entretien WordPress.

Questions fréquentes

Un certificat SSL gratuit est-il aussi sûr qu’un certificat payant?

Oui, pour ce qui est du chiffrement. Un certificat DV gratuit de Let’s Encrypt utilise les mêmes protocoles TLS et la même robustesse de clé qu’un certificat DV payant. Les certificats payants se justifient quand vous avez besoin d’une validation OV ou EV pour une exigence d’approvisionnement ou de conformité, ou d’un contrat de soutien avec un fournisseur.

Ai-je besoin d’un certificat SSL si mon site ne vend rien?

Oui. Tout site doté d’un formulaire de contact, d’une connexion ou de témoins d’analyse traite des renseignements personnels, et les navigateurs marquent chaque page HTTP comme « Non sécurisé », peu importe son contenu. La plupart des hébergeurs incluent un certificat gratuit; il n’y a donc aucune bonne raison de s’en passer.

Que se passe-t-il quand mon certificat SSL expire?

Les navigateurs affichent un avertissement pleine page indiquant que la connexion n’est pas privée, et la plupart des visiteurs s’en vont. Les API, les webhooks de paiement et les intégrations qui communiquent avec votre site peuvent aussi cesser de fonctionner. Le renouvellement rétablit l’accès immédiatement, mais le renouvellement automatisé combiné à une surveillance évite la panne dès le départ.

Ressources connexes

Pour en savoir plus : Pourquoi le HTTPS est important — web.dev.