HTTPS et sécurité : le cadenas que tout le monde regarde

Le petit cadenas à gauche de l'adresse, dans le navigateur, indique que la connexion entre le visiteur et votre site est chiffrée. Sans lui, Chrome, Safari et Firefox affichent la mention « Non sécurisé », parfois en rouge, avant même que la page ne se charge. Pour un client qui s'apprête à laisser son nom, son téléphone et son adresse dans un formulaire, c'est une raison suffisante pour partir. Pour Google, qui a annoncé dès 2014 qu'il en tenait compte, c'est un prérequis.

Ce que HTTPS fait réellement

HTTPS est la version sécurisée du protocole qui transporte les pages web. Un certificat, délivré par une autorité reconnue, atteste que le site est bien celui qu'il prétend être, et tout ce qui circule entre le navigateur et le serveur est chiffré : personne sur le réseau du café, de l'hôtel ou de l'immeuble ne peut lire ni modifier ce qui passe. Ce n'est pas une protection du site contre les pirates (c'est un autre sujet), c'est une protection de la conversation entre vous et votre visiteur.

Depuis quelques années, les certificats sont gratuits et se renouvellent seuls chez la plupart des hébergeurs sérieux. Il n'y a plus de bonne raison de s'en passer, et plus d'excuse au regard du règlement sur les données personnelles dès qu'un formulaire existe.

Là où ça se complique

Activer le certificat ne suffit pas. Le site doit basculer entièrement, et c'est là que les défauts apparaissent.

• Les deux versions coexistent. Le site répond en http et en https, sans redirection de l'un vers l'autre. Google voit alors deux sites, et le contenu est dupliqué (voir l'élément sur les adresses uniques dans le guide).
• Le contenu mixte. La page est en https, mais une image, une police ou un script y est encore appelé en http. Le navigateur bloque l'élément ou retire le cadenas, selon les cas. Ce défaut survit souvent à une migration faite à la main.
• Les anciens liens. La fiche Google, les annuaires, les signatures d'e-mail pointent encore vers l'adresse en http. Chaque visite passe par une redirection, ce qui n'est pas grave, mais c'est du temps perdu et une source d'erreurs si la redirection saute un jour.
• Le certificat expiré. Un renouvellement automatique qui échoue, et le site affiche un avertissement en pleine page. Cela arrive plus souvent qu'on ne le croit, souvent sur un site que personne ne regarde depuis des mois.

Un site sécurisé à moitié n'est pas sécurisé : le navigateur juge la page entière, et il affiche le pire de ce qu'il y trouve.

Ce qu'il faut faire

• Activer le certificat chez l'hébergeur, avec renouvellement automatique.
• Forcer une seule version du site : toute demande en http est redirigée définitivement (code 301) vers https, et sans « www » ou avec, mais pas les deux.
• Passer toutes les ressources en https, ou en adresses relatives, y compris dans les anciens articles et les feuilles de style.
• Mettre à jour l'adresse partout où elle est écrite : fiche Google, annuaires, réseaux, signatures, cartes de visite à la prochaine impression.
• Noter la date d'expiration du certificat, ou vérifier une fois par trimestre que le cadenas est toujours là.

Comment le vérifier

Ouvrez votre site en tapant l'adresse sans « https » ni « www » : vous devez arriver, après une redirection invisible, sur la version sécurisée, avec le cadenas. Cliquez sur le cadenas : le navigateur indique si le certificat est valide et jusqu'à quand. Sur une page avec des images et des formulaires, ouvrez la console du navigateur (touche F12) : un avertissement de « mixed content » y apparaît en clair si une ressource est encore appelée en http. Google Search Console, enfin, signale les pages en http qu'il connaît encore.

Sur nos réalisations, la canonicalisation (une seule adresse, https, sans www) est posée dès la mise en ligne, et fait partie des points contrôlés avant livraison, comme le décrit notre page sur les garanties. C'est invisible quand c'est bien fait, et très visible quand ça ne l'est pas.

Le faire vous-même, ou nous le confier

Cet élément fait partie des vingt-cinq du guide du référencement. Deux façons de passer à l'action, au choix.

Prix nets, TVA non applicable (article 293 B du CGI). Le premier échange est gratuit et sans engagement, le devis ferme est remis sous 48 heures. Toutes les formules : SEO INTERACT.