Un site sans certificat SSL affiche aujourd'hui un avertissement « Non sécurisé » dans la barre d'adresse, avant même que le visiteur ait lu la première ligne. C'est le genre de détail qui fait fuir un client potentiel en moins de deux secondes, et qui pénalise aussi le référencement. La bonne nouvelle, c'est que corriger ça prend en général moins de dix minutes.
Qu'est-ce qu'un certificat SSL, concrètement
SSL, et son successeur TLS, désignent le protocole qui chiffre la connexion entre le navigateur d'un visiteur et le serveur qui héberge le site. Une fois activé, l'adresse passe de http:// à https://, et un cadenas apparaît dans la barre d'adresse. Sans ce chiffrement, tout ce qui transite entre le visiteur et le site (identifiants, formulaires, numéros de carte) circule en clair, lisible par n'importe qui capable d'intercepter le trafic sur le même réseau.
Pourquoi c'est devenu non négociable
Il y a la sécurité des données, évidemment, mais trois autres raisons pèsent tout autant en pratique. D'abord le référencement : Google utilise le HTTPS comme signal de classement depuis 2014, et un site en HTTP simple part avec un désavantage difficile à rattraper. Ensuite la confiance : l'avertissement « Non sécurisé » de Chrome fait fuir une bonne partie des visiteurs avant même qu'ils n'aient vu le contenu. Enfin la performance : les protocoles HTTP/2 et HTTP/3, qui accélèrent sensiblement le chargement des pages, exigent une connexion chiffrée pour fonctionner.
Les différents types de certificats
Il n'y a pas un seul SSL, mais plusieurs niveaux de vérification, et le bon choix dépend surtout de ce que le site fait avec les données de ses visiteurs.
| Type | Vérification | Prix indicatif | Pour quel site |
|---|---|---|---|
| DV (domaine) | Propriété du domaine | Gratuit à 50 €/an | Blog, site vitrine, petite structure |
| OV (organisation) | Domaine + entreprise | 50-200 €/an | E-commerce, PME |
| EV (étendue) | Vérification approfondie | 200-500 €/an | Banques, institutions |
| Wildcard | Domaine + sous-domaines | 100-500 €/an | Sites multi-sous-domaines |
Pour la grande majorité des sites (blogs, vitrines, boutiques de taille modeste), un certificat DV gratuit suffit largement. Les niveaux OV et EV se justifient surtout pour rassurer sur des transactions à forte valeur, pas pour un usage courant.
Installer un certificat SSL
La méthode change peu d'un hébergeur à l'autre, mais chez la plupart d'entre eux, le SSL gratuit Let's Encrypt s'active en un clic depuis le panneau d'administration : Hostinger l'inclut sur tous les plans, SiteGround et Kinsta le proposent en un clic, Bluehost l'active automatiquement à la création du site. Là où ça se complique un peu, c'est en dehors de ce cadre : Let's Encrypt en ligne de commande via Certbot, ou un SSL géré par Cloudflare en passant par son CDN. Dans les deux cas, comptez plutôt vingt à trente minutes la première fois, le temps de comprendre l'interface.
SSL gratuit inclus chez Bluehost
Let's Encrypt activé automatiquement sur tous les plans d'hébergement, sans manipulation.
Voir l'offre Bluehost →SSL gratuit ou payant : lequel prendre
Let's Encrypt (gratuit)
- Chiffrement identique à un certificat payant
- Renouvellement automatique possible
- Suffit pour l'immense majorité des sites
Ses limites
- Validité de 90 jours seulement
- Pas de validation d'organisation (OV/EV)
- Aucun support dédié en cas de souci
Le seul cas où ça vaut le coup de payer, c'est quand un client ou un partenaire exige explicitement une validation d'organisation visible dans le certificat. En dehors de ce cas précis, mettre le budget ailleurs (hébergement, contenu) a plus d'impact.
Où obtenir son certificat
| Fournisseur | Type | Prix |
|---|---|---|
| Let's Encrypt | DV | Gratuit |
| Cloudflare | DV via CDN | Gratuit / payant |
| Sectigo | DV / OV / EV | À partir de 50 €/an |
| DigiCert | OV / EV | À partir de 200 €/an |
Les erreurs qui reviennent le plus souvent
Le contenu mixte arrive en tête : des images ou scripts encore chargés en http:// sur une page en https://, ce qui déclenche un avertissement même si le certificat lui-même est valide. Vient ensuite le certificat expiré, faute de renouvellement automatique configuré, puis l'oubli de rediriger le trafic HTTP restant vers HTTPS en 301. Et pour finir, l'utilisation d'un certificat auto-signé en production : ça ne passe jamais, tous les navigateurs bloquent l'accès.
