Le cadenas : HTTPS et le certificat

Le cadenas à côté de l'adresse de votre site indique que la conversation entre le visiteur et le site est chiffrée. Sans lui, le navigateur affiche « Non sécurisé ».

C'est quoi, HTTPS ?

Quand quelqu'un visite votre site, des informations circulent entre son appareil et votre serveur : les pages, mais aussi ce qu'il tape dans un formulaire. Avec HTTPS, ces échanges sont chiffrés : personne ne peut les lire ni les modifier en chemin, même sur un Wi-Fi public.

Et le certificat ?

Le certificat est la pièce d'identité de votre site. Il prouve au navigateur qu'il parle bien à votre site et pas à une copie. Il a une date de fin : en général trois mois ou un an. Chez la plupart des hébergeurs, il se renouvelle tout seul. Quand ce renouvellement échoue, personne ne le remarque… jusqu'au jour où les visiteurs voient une page d'alerte rouge à la place du site.

Ce que le bilan vérifie

• Le certificat est valide et n'expire pas dans les prochains jours.
• La version non sécurisée renvoie vers la version sécurisée. Si quelqu'un tape votre adresse sans « https », il doit être redirigé automatiquement.
• HSTS : une consigne qui dit au navigateur « pour ce site, utilise toujours HTTPS ». Elle ferme la petite fenêtre pendant laquelle une première visite pourrait passer en clair.
• Pas de contenu « en clair » dans une page sécurisée. Une image ou un script chargé sans HTTPS affaiblit toute la page, et le navigateur peut le bloquer.
• Les formulaires envoient leurs données chiffrées.

Que faire

Un certificat expiré ou invalide est une urgence : demandez à votre hébergeur de le renouveler, c'est presque toujours gratuit (Let's Encrypt). Pour la redirection et HSTS, c'est un réglage que la personne qui gère votre site ou votre hébergeur peut activer en quelques minutes.