Les certificats SSL expliqués
Un certificat SSL permet à un navigateur d’établir une connexion privée et vérifiée avec votre site web. C’est lui qui transforme http:// en https:// et qui empêche les navigateurs d’afficher votre site comme « Non sécurisé ».
Ce que fait un certificat
Quand un navigateur se connecte à un site en HTTPS, le certificat remplit trois rôles :
- Chiffrement : les données échangées entre le visiteur et le site, comme les mots de passe, les champs de formulaire et les informations de paiement, ne peuvent pas être lues par un intermédiaire.
- Authentification : le certificat prouve que le serveur est autorisé à utiliser le nom de domaine, pour que les visiteurs sachent qu’ils sont sur le vrai site.
- Intégrité : rien ne peut être modifié ou injecté dans la page pendant son trajet vers le visiteur sans être détecté.
La technologie s’appelle aujourd’hui TLS (Transport Layer Security). L’ancien nom, SSL, reste très utilisé pour les certificats, et ce guide emploie les deux pour désigner la même chose.
Types de certificats
Les certificats diffèrent par le niveau de vérification effectué par l’autorité de certification (CA) avant de les émettre, et par le nombre de noms qu’ils couvrent. Le chiffrement est le même.
| Type | Ce qui est vérifié | Idéal pour |
|---|---|---|
| Validation du domaine (DV) | Que vous contrôlez le domaine | La plupart des sites web, blogs et boutiques |
| Validation de l’organisation (OV) | Le contrôle du domaine et l’existence légale de votre organisation | Les entreprises qui veulent leur nom vérifié dans les détails du certificat |
| Validation étendue (EV) | Une vérification plus stricte de l’organisation | Les organisations soumises à des exigences de politique particulières |
Selon les noms couverts :
- Nom unique : un seul nom, souvent avec
wwwen plus, commeexample.cometwww.example.com. - Wildcard : tous les sous-domaines d’un même niveau, comme
*.example.compourshop.example.cometmail.example.com. Il ne couvre pas les noms plus profonds commea.b.example.com. - Multidomaine (SAN) : une liste de noms différents dans un seul certificat.
Les certificats expirent, et leur durée de vie raccourcit
Chaque certificat a une date de fin. Passé cette date, les navigateurs affichent un avertissement en pleine page au lieu de votre site.
Le CA/Browser Forum, qui fixe les règles des certificats publiquement reconnus, réduit la durée de vie maximale par étapes :
| Certificats émis à partir du | Durée de vie maximale |
|---|---|
| 15 mars 2026 | 200 jours |
| 15 mars 2027 | 100 jours |
| 15 mars 2029 | 47 jours |
Avec des durées aussi courtes, le renouvellement manuel n’est plus réaliste. Utilisez le renouvellement automatique partout où c’est possible. La plupart des hébergeurs renouvellent automatiquement les certificats qu’ils émettent pour vous, grâce à un protocole standard appelé ACME. Si vous installez vous-même vos certificats, mettez en place un client ACME sur le serveur, ou un rappel bien avant chaque date d’expiration.
Faire passer tout votre site en HTTPS
Un certificat seul ne suffit pas. Vérifiez aussi ces points :
- Redirigez HTTP vers HTTPS. Les visiteurs qui saisissent
example.comou suivent un ancien lien doivent arriver surhttps://. Beaucoup de panneaux de contrôle et d’applications ont un réglage pour cela. - Corrigez le contenu mixte. Si une page HTTPS charge des images, des scripts ou des styles en
http://, les navigateurs les bloquent ou affichent un avertissement. Remplacez ces liens parhttps://. Dans WordPress et les applications similaires, vérifiez que l’adresse du site commence parhttps://. - Couvrez
wwwet le domaine racine. Vérifiez que le certificat inclut à la foisexample.cometwww.example.comsi les visiteurs utilisent les deux.
HSTS est un en-tête qui indique aux navigateurs de n’utiliser que HTTPS pour votre domaine pendant une durée définie. C’est une bonne protection, mais une fois qu’un navigateur l’a reçu, le site est inaccessible en HTTP simple jusqu’à la fin de cette durée, même si votre certificat ne fonctionne plus. Activez-le seulement quand HTTPS fonctionne de façon fiable partout sur votre domaine, et commencez par une durée courte.
Erreurs de certificat courantes
| Ce qu’affiche le navigateur | Cause habituelle | Solution |
|---|---|---|
| Le certificat a expiré | Le renouvellement n’a pas eu lieu | Renouvelez-le et cherchez pourquoi le renouvellement automatique a échoué |
| Le nom ne correspond pas | Le certificat ne couvre pas ce nom exact, souvent www ou un sous-domaine | Émettez un certificat qui inclut ce nom |
| L’émetteur n’est pas reconnu, ou la chaîne est incomplète | Un certificat intermédiaire manque sur le serveur | Installez la chaîne complète fournie par votre CA |
| La connexion n’est pas privée, sur un seul appareil | La date et l’heure de l’appareil sont incorrectes | Corrigez l’horloge de cet appareil |
| Le renouvellement échoue après l’ajout d’enregistrements DNS | Un enregistrement CAA n’autorise pas votre CA | Ajoutez votre CA à l’enregistrement CAA, ou supprimez-le |
Les offres d’hébergement web DomainPilot incluent un certificat SSL gratuit. Pour des certificats à validation de l’organisation ou wildcard, consultez Certificats SSL sur le site web de DomainPilot.
Sources
- CA/Browser Forum : Baseline Requirements for TLS server certificates
- Protocole ACME : RFC 8555
Guides associés
- Protéger votre compte d’hébergement
- Un site web qui ne se charge pas
- Les enregistrements DNS expliqués