Certificat SSL
ce qu’il protège et comment le choisir
Ce qu’il chiffre vraiment, quel type suffit pour votre site, et comment ne pas le laisser expirer.
Un certificat SSL est un fichier installé sur un serveur qui chiffre les échanges avec le navigateur : c’est lui qui active le HTTPS et affiche le cadenas. Il atteste que la connexion est chiffrée et que le domaine a été vérifié, mais pas que le site est honnête. Pour la majorité des sites, un certificat de validation de domaine, souvent gratuit, suffit.
- Ce qu’il fait : chiffrer la connexion et rattacher le HTTPS à un domaine vérifié.
- Ce qu’il ne fait pas : prouver l’honnêteté du site ; le cadenas n’est pas un gage de confiance.
- Quel type : la validation de domaine (DV) répond au besoin de presque tous les sites.
- Le vrai risque : l’expiration ; d’où l’intérêt du renouvellement automatique.
Un certificat SSL, c’est quoi au juste
Un certificat SSL est un fichier électronique installé sur le serveur d’un site. Il contient une clé publique et des informations sur le domaine, et il est signé par une autorité de certification, un tiers dont le rôle est de vérifier puis d’attester ces informations. C’est ce fichier qui permet au serveur et au navigateur d’ouvrir une connexion chiffrée : concrètement, c’est lui qui fait passer une adresse de http à https et affiche le cadenas.
Le nom mérite une précision. Le protocole SSL, apparu dans les années 1990, a été remplacé par TLS il y a longtemps, et ce sont bien des versions de TLS qui sécurisent aujourd’hui les échanges. Le terme « certificat SSL » est pourtant resté le nom d’usage, autorités de certification et hébergeurs compris. Il faut distinguer l’appellation commerciale, restée stable par habitude, du protocole réellement employé, qui a évolué. En pratique, quand on parle de certificat SSL, on parle d’un certificat TLS.
Ce que le certificat prouve, et ce qu’il ne prouve pas
C’est le point que la plupart des pages passent sous silence, et c’est pourtant celui qui prête le plus à confusion. Le cadenas atteste une chose précise : la connexion entre le navigateur et le serveur est chiffrée, et le domaine affiché correspond bien à celui inscrit dans le certificat. Rien de plus.
Il ne dit rien sur l’honnêteté de l’éditeur, la qualité du service, ni l’absence d’intention malveillante. Un site de hameçonnage peut parfaitement disposer d’un certificat valide et afficher le cadenas : il lui suffit de contrôler son domaine, ce qu’une validation basique vérifie. La présence du HTTPS signifie donc « la connexion est protégée », pas « le site est digne de confiance ».
Le cadenas prouve un chiffrement, pas une fiabilité. À l’inverse, un site qui reçoit un mot de passe ou un paiement sans HTTPS expose ces données en clair : là, l’absence de certificat est un vrai problème.
Les types de certificats et lequel choisir
Validation de domaine, d’organisation ou étendue
Les certificats se distinguent d’abord par le niveau de vérification effectué avant émission. La validation de domaine, dite DV, se contente de vérifier que le demandeur contrôle bien le domaine, souvent par un fichier à déposer ou un enregistrement DNS à ajouter. C’est automatique, rapide, et c’est ce que délivrent les offres gratuites.
Un point de contexte s’impose ici, car il est souvent mal compris. Les navigateurs affichaient autrefois un marqueur visuel distinct pour les certificats à validation étendue, souvent le nom de l’entreprise dans la barre d’adresse. Cet affichage a progressivement disparu des principaux navigateurs, si bien qu’un visiteur ordinaire ne fait plus la différence visuelle entre un certificat DV et un certificat EV.
DV
Vérifie seulement que vous contrôlez le domaine. Émission automatique, souvent gratuite. Répond au besoin de la très grande majorité des sites, du blog à la boutique classique.
OV et EV
Vérifient en plus l’existence de l’entité, sur pièces. Elles attestent une identité, pas seulement un domaine. Intérêt réel mais étroit, depuis que l’affichage distinct a disparu des navigateurs.
Wildcard et multi-domaine
Le wildcard couvre tous les sous-domaines d’une même racine ; le multi-domaine regroupe plusieurs domaines distincts. Logique d’organisation, sans changer le niveau de validation.
Wildcard et multi-domaine
couvrir plusieurs adresses
Ces deux formats répondent à un besoin de couverture plutôt que de vérification. Le wildcard protège d’un coup le site principal, la boutique et l’espace client s’ils partagent la même racine de domaine. Le multi-domaine, parfois désigné par le terme SAN, réunit dans un seul certificat des domaines sans lien entre eux. Dans les deux cas, l’objectif est d’éviter de gérer une multitude de certificats séparés.
| Votre situation | Type conseillé | À prévoir |
|---|---|---|
| Site vitrine, blog | Validation de domaine (DV) | Gratuit via une autorité comme Let’s Encrypt |
| Boutique en ligne classique | Validation de domaine (DV) | Gratuit ; activer le renouvellement automatique |
| Plusieurs sous-domaines | Wildcard | Un seul certificat pour toute la racine |
| Attester une identité juridique | OV ou EV | Validation sur pièces, émission plus longue |
Obtenir un certificat SSL
gratuit ou payant
Pour la plupart des sites, la question du coût est réglée depuis l’arrivée de Let’s Encrypt, une autorité de certification qui délivre gratuitement des certificats de validation de domaine. L’émission et le renouvellement y sont automatisés par un protocole standard, et la majorité des hébergeurs l’intègrent : l’activation se fait alors en une case à cocher, sans manipulation technique.
Le certificat payant, lui, reste vendu par des autorités de certification et des revendeurs. Il se justifie dans des cas identifiables : besoin d’un certificat OV ou EV pour attester une identité, exigence contractuelle particulière, couverture financière associée, ou support dédié. En dehors de ces situations, payer pour un certificat DV n’ajoute aucune protection, puisque le chiffrement est identique à celui d’un certificat gratuit de même niveau. La tentation de conclure qu’un certificat payant « protège mieux » ne résiste pas à l’examen : c’est le niveau de validation, pas le prix, qui change quelque chose.
Installer, activer le HTTPS et forcer la redirection
Les étapes concrètes dépendent de l’hébergement, mais la logique reste constante. Quand l’hébergeur gère Let’s Encrypt, l’essentiel tient en une option à activer ; dans une configuration manuelle, il faut passer par la génération d’une demande, puis l’installation du certificat renvoyé.
-
Obtenir et installer le certificat
Sur un hébergement géré, activer l’option SSL suffit. En manuel, générer une demande de certificat et sa clé privée, transmettre la demande à l’autorité, puis installer le certificat renvoyé sur le serveur.
-
Forcer la redirection vers HTTPS
Une fois le certificat en place, le site répond souvent encore en HTTP. Il faut rediriger de façon permanente toutes les adresses http vers https pour qu’aucune version non chiffrée ne subsiste.
-
Corriger le contenu mixte
Une page en HTTPS qui charge encore une image, un script ou une feuille de style en http déclenche un avertissement et affaiblit la protection. Reprendre les liens internes et les ressources pour que tout soit servi de façon chiffrée.
Renouvellement, expiration et erreurs courantes
Un certificat a une durée de validité limitée. Passé cette date, il expire, et le navigateur bloque l’accès avec un avertissement bien visible. L’expiration reste la cause la plus fréquente des pannes de sécurité visibles sur un site, et elle n’a rien à voir avec une attaque : c’est un simple oubli de renouvellement.
D’où l’intérêt du renouvellement automatique, que Let’s Encrypt et la plupart des hébergeurs assurent en renouvelant le certificat avant son échéance, sans intervention. Sur une configuration manuelle, la surveillance de la date d’expiration devient une discipline à part entière, qu’une simple alerte de rappel suffit souvent à tenir.
Quand l’hébergeur propose le renouvellement automatique, l’activer une fois règle le principal risque. Le reste du temps, une alerte de rappel avant la date d’échéance évite la quasi-totalité des incidents.
| Message du navigateur | Cause probable | Piste de correction |
|---|---|---|
| Date de certificat invalide | Certificat expiré, ou horloge de l’appareil déréglée | Renouveler le certificat ; vérifier la date de l’appareil |
| Incompatibilité de nom | Le domaine visité ne figure pas dans le certificat | Certificat installé sur la mauvaise adresse ou sous-domaine non couvert |
| Contenu mixte | Une ressource est encore chargée en HTTP | Repasser images, scripts et styles en HTTPS |
Quelle différence entre SSL et TLS ?
SSL est un protocole ancien, remplacé par TLS il y a longtemps ; ce sont des versions de TLS qui sécurisent aujourd’hui les échanges. Le terme « certificat SSL » est resté le nom d’usage courant, y compris chez les autorités de certification et les hébergeurs. En pratique, un certificat SSL est un certificat TLS.
Un certificat SSL rend-il mon site sûr ?
Il protège la connexion, pas le contenu. Le certificat chiffre les échanges entre le navigateur et le serveur et vérifie le domaine, mais il ne dit rien sur l’honnêteté de l’éditeur. Un site malveillant peut afficher le cadenas. Le HTTPS signifie « connexion chiffrée », pas « site de confiance ».
Peut-on avoir un certificat SSL gratuit ?
Oui. Des autorités comme Let’s Encrypt délivrent gratuitement des certificats de validation de domaine, avec émission et renouvellement automatisés. La plupart des hébergeurs l’intègrent : on active alors le HTTPS sans coût ni manipulation technique, souvent en une case à cocher.
Quel type de certificat choisir pour un site vitrine ou une boutique ?
Pour un site vitrine comme pour une boutique classique, un certificat de validation de domaine suffit : il chiffre la connexion et affiche le cadenas. Les certificats de validation d’organisation ou étendue, plus lourds à obtenir, ne se justifient que dans des contextes précis où attester une identité juridique a une valeur propre.
Que faire quand un certificat est expiré ou non valide ?
Un certificat expiré doit être renouvelé : c’est la cause la plus fréquente des blocages de navigateur. Un message de date invalide pointe souvent vers une expiration, un message d’incompatibilité de nom vers un domaine absent du certificat. Activer le renouvellement automatique, quand l’hébergeur le propose, évite la majorité de ces incidents.
Retenir une seule chose aide à ne pas se tromper : le certificat protège la route, pas la destination. Choisir un DV gratuit, forcer le HTTPS partout et surveiller la date d’expiration couvre l’essentiel du besoin, pour presque tous les sites.