SSL et HTTPS
Définition simple, fonctionnement et explications pour comprendre la sécurisation des sites web et l'importance du cadenas vert.
Qu'est-ce que SSL et HTTPS ?
HTTPS est la version sécurisée du protocole HTTP. SSL (Secure Sockets Layer) est la technologie qui permet cette sécurisation.
En termes simples : Quand vous voyez "https://" et un cadenas vert dans la barre d'adresse, cela signifie que les échanges entre votre navigateur et le site web sont chiffrés. Personne ne peut espionner ce que vous faites, que ce soit les mots de passe que vous tapez ou les informations personnelles que vous envoyez.
Site sécurisé avec certificat SSL valide
HTTP vs HTTPS
Les données circulent en clair. Un pirate sur le même réseau (Wi-Fi public) peut les intercepter facilement.
Les données sont chiffrées. Même interceptées, elles sont illisibles sans la clé de déchiffrement.
L'analogie de la lettre et de l'enveloppe
Vous écrivez votre message sur une carte postale. N'importe qui (facteur, employés du tri, voisins) peut lire ce que vous avez écrit. C'est ce qui se passe avec un site non sécurisé : vos données voyagent en clair.
Vous mettez votre message dans une enveloppe fermée. Seul le destinataire peut l'ouvrir. Même si quelqu'un intercepte la lettre, il ne peut pas lire son contenu. C'est ce que fait SSL/TLS : il met vos données dans une enveloppe scellée.
Le certificat SSL est comme un sceau de cire officiel qui garantit que l'enveloppe vient bien de qui elle prétend venir. Il prouve l'identité du site et assure que personne n'a ouvert l'enveloppe en chemin.
Comment fonctionne SSL/TLS ?
Le processus s'appelle la "poignée de main SSL" (SSL handshake). Il se déroule en quelques étapes, invisibles pour l'utilisateur :
Hello
Le navigateur envoie une demande de connexion sécurisée au serveur, avec la liste des algorithmes de chiffrement qu'il supporte.
Certificat
Le serveur répond en envoyant son certificat SSL (qui contient sa clé publique) et choisit l'algorithme de chiffrement.
Vérification
Le navigateur vérifie que le certificat est valide (pas expiré, signé par une autorité de confiance, correspond au site visité).
Clé de session
Le navigateur génère une clé de session, la chiffre avec la clé publique du serveur, et la lui envoie.
Connexion sécurisée
Tous les échanges sont maintenant chiffrés avec cette clé de session. Personne ne peut les espionner.
Les différents types de certificats SSL
Il existe plusieurs niveaux de validation, du plus simple au plus poussé :
| Type | Niveau de validation | Usage typique | Coût |
|---|---|---|---|
| DV (Domain Validation) | Basique | Blogs, sites vitrines | Gratuit (Let's Encrypt) ou ~10€/an |
| OV (Organization Validation) | Moyen | Sites professionnels, PME | ~100-200€/an |
| EV (Extended Validation) | Élevé | Banques, e-commerce, grandes entreprises | ~300-600€/an |
Ce que contient un certificat SSL
Comment obtenir un certificat SSL ?
Via votre hébergeur
La plupart des hébergeurs proposent des certificats gratuits (Let's Encrypt) activables en un clic depuis l'interface d'administration.
Achat auprès d'une autorité
Pour des certificats OV ou EV, achetez directement chez des fournisseurs comme DigiCert, GlobalSign, ou via des revendeurs.
Let's Encrypt (gratuit)
Autorité gratuite et automatisée. Idéale pour la plupart des sites. Les certificats durent 90 jours mais se renouvellent automatiquement.
Installation et configuration
Une fois le certificat obtenu, il faut le configurer sur votre serveur et forcer la redirection de HTTP vers HTTPS.
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]
Pourquoi HTTPS est indispensable
Les données échangées (mots de passe, informations personnelles, numéros de carte bancaire) ne peuvent pas être lues par des tiers.
Garantit que les données n'ont pas été modifiées en cours de route (pas d'injection de contenu malveillant).
Vous êtes bien sur le site que vous croyez visiter, pas sur un site pirate imitant l'original (phishing).
Les navigateurs affichent un avertissement "Non sécurisé" sur les sites HTTP, ce qui fait fuir les visiteurs.
Avertissement : ce site n'est pas sécurisé
Impact sur le référencement (SEO)
Google a confirmé que HTTPS est un critère de classement. Les sites en HTTPS sont favorisés dans les résultats de recherche.
- Depuis 2014 : HTTPS est un signal de classement positif.
- Depuis 2017 : Chrome affiche "Non sécurisé" sur les pages HTTP avec formulaire.
- Depuis 2018 : Tous les sites HTTP sont marqués "Non sécurisé".
- Impact concret : Les sites HTTP peuvent perdre des visiteurs à cause des avertissements.