Certificat SSL et HTTPS : c’est quoi, et ce que le cadenas garantit (ou pas)

Le HTTPS est la version chiffrée du HTTP, le protocole avec lequel votre navigateur demande les pages à un site : tout ce qui circule entre les deux est brouillé, et personne sur le trajet ne peut le lire ni le modifier. Le certificat SSL est le fichier qui rend cela possible : il prouve que vous êtes connecté au domaine de la barre d’adresse et permet de chiffrer la connexion. Le cadenas indique donc que la connexion est privée, pas que l’entreprise est digne de confiance.

Un certificat SSL peut ne rien coûter : il en existe de gratuits, et des sociétés d’hébergement les installent et les renouvellent pour vous. Mais il expire : s’il n’est pas renouvelé, le navigateur affiche un avertissement à la place de votre page, d’où la nécessité d’un renouvellement automatique.

Pensez au courrier. Avec le HTTP, votre site envoie des cartes postales que n’importe qui peut lire en chemin, comme le Wi-Fi d’un café. Avec le HTTPS, elles voyagent sous enveloppe fermée, et votre navigateur vérifie d’abord la carte d’identité du destinataire : le certificat.

HTTPS, c’est quoi ?

Le HTTPS, c’est le HTTP, le protocole avec lequel navigateur et site s’échangent les pages, plus une couche de chiffrement appelée TLS ; le « S » signifie secure, « sécurisé ». On le reconnaît à l’adresse qui commence par https://. Tout ce qui circule, y compris vos saisies dans un formulaire, est chiffré et arrive intact.

Sans HTTPS, prévient l’aide de Google Chrome, un tiers pourrait voir et modifier ce que vous envoyez et recevez, et la page s’affiche « Non sécurisé ». Avec, la connexion vous protège des espions et de ceux qui tentent d’usurper un site de confiance, selon le rapport de transparence de Google.

C’est devenu la norme : la semaine du 11 octobre 2026, 99 % des pages ouvertes dans Chrome sur Android et 95 % sur Windows ont été chargées en HTTPS, selon ce rapport ; en France, 98 %.

Qu’est-ce qu’un certificat SSL et à quoi sert-il ?

Un certificat SSL est un fichier numérique installé sur le serveur d’un site, qui sert à deux choses : prouver au navigateur que ce site est bien le domaine de l’adresse, et permettre de chiffrer la connexion. Il est délivré par une autorité de certification, reconnue par les navigateurs, après vérification que vous contrôlez le domaine.

Il contient le domaine couvert, l’émetteur, les dates de validité et une clé publique grâce à laquelle le navigateur vérifie que le serveur détient la clé privée correspondante. Si quelque chose ne colle pas, il prévient.

SSL ou TLS ?

C’est la même invention sous deux noms. Le SSL est arrivé en premier, et sa dernière version, SSL 3.0, a été retirée en 2015 car pas assez sûre. Pour son successeur, le TLS, les versions 1.0 et 1.1 ont été retirées en mars 2021 ; on utilise aujourd’hui TLS 1.2 et TLS 1.3, publié en 2018 dans la RFC 8446. « Certificat SSL » n’est que le nom d’usage.

Un vrai certificat, vu de l’intérieur

Nous l’avons examiné le 19 octobre 2026 avec openssl, un outil qui affiche le certificat d’un site : il lui restait 52 jours. Personne ne le renouvellera à la main : l’hébergeur du blog, Vercel, tente de le renouveler 14 à 30 jours avant, selon sa documentation.

Comment fonctionne le HTTPS ?

Avant d’envoyer la page, le navigateur et le serveur font une « poignée de main » (handshake) : ils s’accordent sur la façon de chiffrer, calculent une clé qu’eux seuls connaissent sans l’envoyer sur le réseau, et le serveur présente son certificat. Si le navigateur l’accepte, tout circule ensuite chiffré.

Combien de temps cela prend-il ? Nous l’avons mesuré le 19 octobre 2026 depuis un ordinateur en Équateur avec curl, un programme qui demande des pages web, en chargeant 10 fois la page d’accueil de ce blog. La connexion était prête au bout de 76 millisecondes (médiane) et la poignée de main se terminait à 200 : le chiffrement a ajouté environ 120 millisecondes.

Un essai séparé avec Node.js a mesuré une poignée de main de 119 millisecondes. Et cela n’arrive qu’à l’ouverture de la connexion : en demandant deux pages à la suite sur la même, la seconde n’a pas refait la poignée de main.

Le cadenas veut-il dire que le site est sûr ?

Non. Le cadenas indique seulement que la connexion est chiffrée et que le certificat correspond au domaine de la barre d’adresse. Il ne dit ni qui est derrière ni s’il est honnête : le certificat prouve seulement que son demandeur contrôle ce domaine, et un faux site imitant votre banque peut aussi en avoir un.

En juin 2019, le FBI a alerté sur des campagnes d’hameçonnage menées sur des sites en HTTPS et conseillé de ne pas se fier à un site pour son seul cadenas. En 2023, l’équipe sécurité de Chrome a écrit que presque tous les sites d’hameçonnage utilisent le HTTPS et que, dans sa propre étude de 2021, seuls 11 % des participants comprenaient ce que signifie le cadenas.

C’est pourquoi Chrome l’a remplacé dans sa version 117, de septembre 2023, par une icône neutre de réglages ; les pages sans HTTPS restent signalées « Non sécurisé ». Vérifiez toujours que le domaine est bien écrit, surtout si vous êtes arrivé par un lien.

Combien coûte un certificat SSL ?

Il peut ne rien coûter. Let’s Encrypt, une autorité de certification à but non lucratif, ne facture pas ses certificats, et la plupart des navigateurs et des systèmes d’exploitation leur font confiance. Certains hébergeurs les installent et les renouvellent automatiquement ; d’autres facturent de petits frais de gestion, selon Let’s Encrypt.

Ceux de Let’s Encrypt sont à validation de domaine (DV) : ils vérifient que vous contrôlez le domaine, rien de plus. Les payants peuvent être à validation d’organisation (OV) ou étendue (EV), qui vérifient aussi l’entreprise, une démarche impossible à automatiser.

Cette vérification supplémentaire ne se voit presque plus : Chrome a retiré le nom de l’entreprise de la barre d’adresse dans sa version 77, et Safari avait fait un changement similaire en 2018, explique l’équipe de Chrome. Notre recommandation : pour une entreprise, un DV gratuit suffit.

Que se passe-t-il si le certificat SSL expire ?

Le site reste en ligne, mais les visiteurs ne le voient plus : Chrome affiche « Votre connexion n’est pas privée » avec le code NET::ERR_CERT_DATE_INVALID, deux messages de sa page d’aide sur les erreurs. Selon le code source de Chromium, ce code signifie que, d’après l’horloge de l’appareil, le certificat a expiré ou n’est pas encore valide.

Si le site utilise HSTS, un en-tête qui oblige le navigateur à toujours passer par HTTPS, impossible de continuer : la norme HSTS demande de couper la connexion sans possibilité de passer outre. Le même code apparaît si l’horloge du visiteur est fausse, selon l’aide de Chrome.

Et leur durée de vie raccourcit. En avril 2025, le CA/Browser Forum, où autorités de certification et navigateurs fixent les règles, a approuvé un calendrier pour la réduire, avec les votes d’Apple, de Google, de Microsoft et de Mozilla. Voici ce que prévoient ses exigences de base :

Let’s Encrypt va plus vite : ses certificats, valables 90 jours aujourd’hui, passeront à 64 jours le 10 février 2027, puis à 45 en 2028. Renouveler à la main n’est donc plus envisageable : cela doit être automatique, et quelqu’un doit recevoir l’alerte en cas d’échec.

Qu’est-ce que cela change pour votre entreprise ?

Trois choses, même si votre site ne vend rien en ligne : ce que vos clients saisissent circule protégé, le navigateur ne le signale pas comme « Non sécurisé » et il peut s’installer comme une appli. En échange, quelqu’un doit veiller à ce que le certificat soit renouvelé à temps.

• Formulaires et paiements. Ce que saisissent vos clients, du téléphone à la carte, circule chiffré ; sans HTTPS, une personne sur le même réseau pourrait le lire.
• La mention « Non sécurisé ». Chrome l’affiche sur toute page HTTP depuis juillet 2018, avec sa version 68. Et en octobre 2025, Google a annoncé que Chrome 154 activerait par défaut « Toujours utiliser une connexion sécurisée », qui demande l’autorisation avant d’ouvrir pour la première fois un site public sans HTTPS.
• Votre site comme une appli. Pour s’installer sur un téléphone comme une PWA, un site doit être diffusé en HTTPS : c’est l’un des critères d’installation de Chrome.

Ce qu’on exagère sur le HTTPS et les certificats SSL

• « S’il y a un cadenas, le site est sûr. » Seule la connexion l’est : les sites d’hameçonnage en ont un aussi.
• « Le SSL coûte cher. » Il existe des certificats gratuits reconnus par les navigateurs ; ce qui peut coûter, c’est la gestion.
• « Seules les boutiques en ligne en ont besoin. » Chrome signale « Non sécurisé » toute page sans HTTPS.
• « Le HTTPS fait monter dans Google. » En 2014, Google l’a annoncé comme un signal très léger, qui concernait moins de 1 % des recherches. Aujourd’hui, son guide sur l’expérience sur la page précise qu’au-delà des Core Web Vitals, des aspects comme la sécurité des pages n’aident pas directement à mieux se classer.

Que vérifier aujourd’hui sur votre site ?

Quatre vérifications rapides, sans rien installer :

1. Tapez votre adresse avec http:// devant et vérifiez qu’elle bascule toute seule vers https://.
2. Sur ordinateur, cliquez sur l’icône à gauche de l’adresse et ouvrez les informations de connexion : vous verrez l’émetteur et la date d’expiration.
3. Demandez à la personne qui gère votre hébergement si le renouvellement est automatique et à quelle adresse e-mail arrive l’alerte en cas d’échec.
4. Si vous avez des formulaires, des réservations ou des paiements, vérifiez que ces pages sont aussi en HTTPS, pas seulement l’accueil.

Nous avons fait la première sur ce blog, avec curl, le 19 octobre 2026 : il répond par une redirection permanente (code 308) vers HTTPS et envoie l’en-tête HSTS, qui impose le HTTPS au navigateur pendant deux ans.

L’essentiel : votre site a besoin du HTTPS et d’un certificat qui se renouvelle tout seul.

Et si vous préférez que quelqu’un d’autre s’en occupe, les sites que nous créons chez Vertize Plus Business sont publiés en HTTPS, avec leur cadenas de sécurité.

Questions fréquentes