Certificat SSL/TLS
à quoi il sert et comment l’obtenir
Le cadenas du navigateur expliqué simplement : rôle, vocabulaire SSL/TLS, types et renouvellement.
Un certificat SSL/TLS chiffre les échanges entre un visiteur et un site et prouve l’identité de ce site : c’est lui qui active le HTTPS et le cadenas du navigateur. SSL et TLS désignent la même idée, TLS étant le successeur plus sûr de SSL, dont le nom est resté par habitude. Il en existe plusieurs niveaux de validation (DV, OV, EV) et plusieurs portées. On l’obtient gratuitement (Let’s Encrypt), via son hébergeur ou une autorité de certification, et il faut penser à le renouveler avant qu’il n’expire.
- Deux rôles : chiffrer les échanges et authentifier le site.
- SSL = TLS : même idée, TLS étant la version moderne.
- Plusieurs types : niveaux de validation et portée variables.
- À surveiller : l’expiration, à éviter par le renouvellement auto.
Le petit cadenas affiché à gauche de l’adresse d’un site, on le voit sans vraiment y penser. Derrière lui se cache un certificat SSL/TLS, devenu un standard du web au point qu’un site qui en est dépourvu est aujourd’hui signalé comme « non sécurisé ». Comprendre ce qu’il fait, et comment l’obtenir, n’a rien de réservé aux spécialistes.
Certificat SSL/TLS
à quoi ça sert
Un certificat SSL/TLS remplit deux missions complémentaires. La première est de chiffrer les échanges entre le visiteur et le site, pour que les informations qui circulent, mot de passe, coordonnées, paiement, ne puissent pas être lues par un tiers qui intercepterait la connexion. Sans lui, ces données voyagent en clair.
La seconde mission, plus discrète, est d’authentifier le site : le certificat atteste qu’on est bien connecté au site annoncé, et non à une copie frauduleuse. Concrètement, c’est ce qui fait basculer l’adresse de « http » à « https » et afficher le cadenas. Au-delà du symbole, c’est devenu une condition de confiance : les navigateurs avertissent les visiteurs des sites qui en sont dépourvus, et les moteurs de recherche favorisent ceux qui en disposent.
SSL ou TLS
la même chose, ou presque
Le double sigle prête à confusion, alors autant le régler une fois pour toutes. SSL et TLS désignent la même idée, à des époques différentes. SSL est l’ancêtre, conçu dans les années 1990. TLS en est le successeur, plus sûr, et c’est lui qu’utilisent réellement les sites aujourd’hui.
Pourquoi continue-t-on alors de parler de « certificat SSL » ? Par habitude. Le nom est resté dans le langage courant, dans les offres commerciales et dans les esprits, même si la technologie sous-jacente est bel et bien TLS. Autrement dit, quand on parle de certificat SSL, de certificat TLS ou de certificat SSL/TLS, on désigne en pratique la même chose. Les anciennes versions de SSL, elles, sont aujourd’hui considérées comme obsolètes et ne devraient plus être utilisées.
Comment ça marche, simplement
Pas besoin de plonger dans la cryptographie pour saisir l’essentiel. Quand un visiteur arrive sur un site sécurisé, son navigateur et le serveur échangent d’abord une sorte de poignée de main. Au cours de cet échange, le site présente son certificat, le navigateur vérifie qu’il est valide et délivré par une autorité de confiance, puis les deux se mettent d’accord sur une manière de chiffrer la suite de leurs échanges.
Une fois cette étape franchie, tout ce qui transite est brouillé pour quiconque l’intercepterait, et seul le destinataire légitime peut le déchiffrer. Le certificat joue donc à la fois le rôle de pièce d’identité du site et de point de départ de la conversation chiffrée. Le visiteur, lui, ne voit rien de tout cela : juste un cadenas et une page qui s’affiche normalement.
Les grands types de certificats
Tous les certificats ne se valent pas, et la différence porte d’abord sur le niveau de vérification de l’identité du demandeur. On distingue trois niveaux principaux.
Validation de domaine (DV)
Vérifie simplement que le demandeur contrôle le domaine. Rapide à obtenir, il convient à la majorité des sites.
Validation d’organisation (OV)
Ajoute une vérification de l’entité qui exploite le site, pour un niveau de confiance supplémentaire.
Validation étendue (EV)
Pousse la vérification plus loin encore. Destinée aux structures qui veulent afficher un gage de sérieux maximal.
À ces niveaux s’ajoute la portée du certificat. Un certificat simple protège un seul nom, un certificat « wildcard » couvre tous les sous-domaines d’un domaine, et un certificat multi-domaines en regroupe plusieurs sous un même certificat.
Comment obtenir et installer un certificat
C’est sans doute la partie qui rassure le plus : obtenir un certificat n’est plus ni compliqué ni forcément coûteux. Plusieurs voies existent selon la situation.
Via l’hébergeur
Beaucoup d’hébergeurs proposent l’activation d’un certificat en quelques clics, parfois incluse dans l’offre.
Let’s Encrypt
Cette initiative a rendu le chiffrement accessible à tous, avec une installation automatisée par de nombreux hébergeurs.
Autorité de certification
Pour des besoins de validation d’organisation ou étendue, on s’adresse à une autorité de certification dédiée.
Dans tous les cas, l’installation consiste à déposer le certificat sur le serveur et à activer le HTTPS, une opération souvent prise en charge par l’hébergement.
Renouvellement et erreurs courantes
Un certificat n’est pas éternel : il a une date d’expiration. C’est une mesure de sécurité, mais aussi la source de l’erreur la plus fréquente. Un certificat arrivé à échéance et non renouvelé déclenche, chez tous les visiteurs, un avertissement de sécurité qui peut faire fuir et entacher la réputation du site.
Quant aux messages d’erreur que rencontre parfois un visiteur, ils signalent souvent un certificat expiré, mal installé ou ne correspondant pas exactement à l’adresse visitée. Dans la plupart des cas, le problème vient de la configuration, pas d’une menace réelle, mais il mérite d’être corrigé sans tarder pour ne pas inquiéter les visiteurs.
Beaucoup de certificats, notamment gratuits, se renouvellent automatiquement quand l’installation est bien configurée. Vérifier que ce renouvellement fonctionne évite la mauvaise surprise d’un site soudain marqué « non sécurisé » du jour au lendemain.
Le certificat SSL/TLS est devenu une brique de base du web : invisible quand tout va bien, vite remarqué quand il manque ou expire. Le comprendre, c’est déjà savoir pourquoi le cadenas mérite qu’on y prête attention.
Quelle est la différence entre SSL et TLS ?
TLS est le successeur, plus sûr, de SSL. Les sites utilisent aujourd’hui TLS, mais le nom « SSL » est resté par habitude dans le langage courant et les offres commerciales. Parler de certificat SSL, TLS ou SSL/TLS revient en pratique à désigner la même chose.
Un certificat SSL/TLS est-il payant ?
Pas nécessairement. Des certificats gratuits, comme ceux de Let’s Encrypt, suffisent à la majorité des sites et sont souvent installés automatiquement par les hébergeurs. Les certificats payants correspondent à des besoins de validation plus poussée ou de protections supplémentaires.
À quoi sert concrètement un certificat ?
À deux choses : chiffrer les échanges entre le visiteur et le site, pour qu’aucun tiers ne puisse les lire, et authentifier le site, pour prouver qu’on est bien sur l’original. C’est ce qui active le HTTPS et le cadenas affiché par le navigateur.
Pourquoi mon site affiche-t-il « certificat expiré » ?
Parce que le certificat a dépassé sa date de validité sans être renouvelé. Les navigateurs affichent alors un avertissement à tous les visiteurs. La solution est de renouveler le certificat et, idéalement, d’activer un renouvellement automatique pour éviter que cela se reproduise.
Faut-il un certificat même pour un petit site sans paiement ?
Oui. Au-delà du chiffrement des données sensibles, le HTTPS est devenu un standard : les navigateurs signalent les sites qui en sont dépourvus comme « non sécurisés », et les moteurs de recherche favorisent ceux qui en disposent. Un certificat gratuit suffit dans ce cas.