Certificat SSL : sécurisez votre site en HTTPS

À quoi sert un certificat SSL pour votre activité ?

Un certificat SSL remplit deux fonctions complémentaires. La première est le chiffrement : les données qui circulent entre le navigateur du visiteur et votre serveur sont transformées en un message illisible pour toute personne qui les intercepterait, par exemple sur le Wi-Fi d'une gare ou d'un hôtel. La seconde est l'authentification : une autorité de certification, tiers de confiance reconnu par les navigateurs, atteste que le site consulté appartient bien au titulaire du nom de domaine, et parfois à une organisation dont l'existence a été contrôlée.

Concrètement, votre adresse commence par https:// et un cadenas apparaît dans la barre du navigateur. Sans certificat, Chrome, Firefox, Edge et Safari avertissent que la page est « Non sécurisée », un message qui suffit à faire fuir une partie des internautes, surtout devant un formulaire de contact ou un panier.

Les problèmes qu'un certificat SSL résout au quotidien

Le premier bénéfice est la confiance. Un artisan qui reçoit des demandes de rendez-vous, un cabinet qui échange des pièces avec ses clients ou une boutique qui encaisse des commandes ne peuvent pas se permettre d'afficher un avertissement de sécurité sur leur page d'accueil.

Le deuxième bénéfice concerne la visibilité : le HTTPS est pris en compte comme signal de classement par Google depuis 2014, et il conditionne l'accès à de nombreuses fonctions modernes des navigateurs, comme la géolocalisation, les notifications ou les applications web installables. Enfin, le certificat protège contre les attaques de l'homme du milieu, où un tiers s'insère entre le visiteur et votre site pour lire ou modifier le contenu des pages.

• Fin de l'avertissement « Non sécurisé » dans le navigateur
• Confidentialité des formulaires, identifiants et commandes
• Meilleure image de sérieux auprès de vos clients
• Compatibilité avec les fonctions récentes des navigateurs

Quel certificat SSL choisir : DV, OV ou certificat SSL EV ?

Tous les certificats chiffrent avec la même robustesse. Ce qui change, c'est l'étendue des vérifications menées avant l'émission. Le certificat à validation du domaine (DV) contrôle uniquement que vous maîtrisez le nom de domaine. Le certificat à validation d'organisation (OV, proposé sous le nom SSL Pro) vérifie en plus l'existence juridique de votre structure, dont le nom figure dans le certificat. Le certificat SSL EV, à validation étendue, applique l'examen le plus approfondi : identité légale, pays et numéro d'immatriculation sont contrôlés.

Pour un site vitrine, un blog ou une boutique de taille courante, la validation du domaine suffit généralement. Un extranet, un espace client ou un site d'entreprise qui souhaite afficher son identité dans le certificat s'orientera vers l'OV. Pour une plateforme de commerce en ligne ou un service sensible, le certificat SSL EV apporte le niveau de vérification maximal. Précision utile : depuis 2019, les navigateurs n'affichent plus de barre verte avec le nom de l'organisation, mais celui-ci reste consultable en cliquant sur le cadenas.

• DV : tous les sites web, émission en quelques minutes
• SSL Pro (OV) : sites d'entreprise, émission en 1 à 2 jours ouvrés
• SSL EV : e-commerce et services sensibles, émission en 3 à 4 jours ouvrés

Mettre en route votre certificat SSL, étape par étape

Pour la validation du domaine, tout se passe dans Plesk, le panel d'administration de votre hébergement ou serveur HaiSoft : vous sélectionnez le domaine, activez le certificat délivré par une autorité de certification automatisée, et le site bascule en HTTPS. Le renouvellement est ensuite pris en charge automatiquement, sans que vous ayez à y penser.

Pour un certificat d'organisation ou un certificat SSL EV, la démarche est un peu plus longue car l'autorité vérifie votre identité. Vous nous contactez, nous vous indiquons les justificatifs nécessaires (pour une société française, généralement un extrait Kbis), nous transmettons le dossier, puis nous installons le certificat une fois émis. Terminez par une redirection de toutes les adresses HTTP vers HTTPS et par la vérification que les images, scripts et feuilles de style sont eux aussi chargés en HTTPS, afin d'éviter les alertes de contenu mixte.

Cas d'usage concrets d'un certificat SSL

Une boulangerie en ligne qui prend des commandes de gâteaux a besoin que les coordonnées de ses clients restent confidentielles : la validation du domaine répond au besoin. Un cabinet comptable qui ouvre un portail de dépôt de documents préférera un certificat d'organisation, pour que le nom du cabinet apparaisse dans le détail du certificat. Une boutique PrestaShop ou WooCommerce qui traite des paiements choisira volontiers le certificat SSL EV, pour renforcer la crédibilité de son identité.

D'autres usages sont moins visibles mais tout aussi importants : interfaces d'administration de votre site, API consommées par une application mobile, webmail, sous-domaines de test. Tous doivent être servis en HTTPS pour éviter l'interception d'identifiants.

Accompagnement HaiSoft pour votre certificat SSL

HaiSoft, hébergeur et infogérant français établi à Orléans, installe et maintient les certificats sur ses hébergements mutualisés, ses serveurs virtuels Linux et ses serveurs dédiés. Nos serveurs sont compatibles avec tous les types de certificats, y compris ceux émis par Sectigo pour les niveaux OV et EV.

Notre équipe vous aide à choisir le niveau adapté, prépare le dossier de validation, installe la chaîne de certification complète et vérifie la configuration. Vous avez une question avant de vous lancer ? Un technicien vous répond par téléphone ou par le formulaire de contact.

Comment fonctionne un certificat SSL/TLS ?

Le terme SSL est resté dans le langage courant, mais le protocole réellement utilisé est TLS, dans ses versions 1.2 et 1.3. Quand un navigateur se connecte, il engage une négociation appelée handshake : le serveur présente son certificat, le navigateur vérifie qu'il a été signé par une autorité qu'il connaît, que le nom correspond au domaine visité et que la date de validité est correcte. Les deux parties s'accordent ensuite sur une suite cryptographique et échangent une clé de session.

La cryptographie asymétrique sert uniquement à établir cette clé de manière sûre ; le reste de la conversation utilise un chiffrement symétrique, beaucoup plus rapide. Avec TLS 1.3, la négociation se fait en un seul aller-retour et les algorithmes obsolètes ont été supprimés, ce qui améliore à la fois la sécurité et la rapidité de chargement.

Chaîne de confiance, autorités et validation du domaine

Un certificat ne se suffit pas à lui-même : il s'inscrit dans une chaîne. Le certificat de votre site est signé par un certificat intermédiaire, lui-même signé par un certificat racine déjà présent dans les magasins de confiance des systèmes et des navigateurs. Si le serveur oublie d'envoyer l'intermédiaire, certains clients refusent la connexion : l'installation de la chaîne complète est donc essentielle.

Pour prouver que vous contrôlez un domaine, l'autorité de certification automatisée utilise le protocole ACME. Le défi le plus courant dépose un fichier sur le site, tandis que le défi DNS demande de publier un enregistrement TXT. Ce second mode permet d'obtenir un certificat wildcard (*.exemple.fr), qui protège tous les sous-domaines d'un même niveau. Le certificat multi-domaines (SAN) regroupe plusieurs noms distincts dans un même fichier. Les règles en vigueur interdisent en revanche les certificats EV wildcard : chaque nom doit y être listé.

Durée de validité réduite et renouvellement automatique

Les autorités et les navigateurs, réunis au sein du CA/Browser Forum, raccourcissent progressivement la durée de vie maximale des certificats publics : 200 jours pour les certificats émis depuis le 15 mars 2026, 100 jours à partir du 15 mars 2027, puis 47 jours à partir du 15 mars 2029. Ces règles concernent tous les niveaux, DV, OV et EV. Un certificat souscrit pour un an devra donc être réémis plusieurs fois dans l'année.

Les certificats de l'autorité automatisée sont valables 90 jours, et ce délai doit descendre à 64 jours en février 2027 puis à 45 jours en février 2028. À ces rythmes, un renouvellement manuel devient une source d'oubli et de panne. C'est pourquoi Plesk renouvelle seul les certificats de vos sites hébergés chez HaiSoft, avant leur expiration.

Bonnes pratiques pour une configuration HTTPS solide

Un certificat valide ne garantit pas à lui seul une configuration saine. Désactivez les anciens protocoles (SSL 3, TLS 1.0 et 1.1), conservez uniquement des suites de chiffrement modernes et activez la redirection permanente de HTTP vers HTTPS. L'en-tête HSTS indique ensuite au navigateur de n'utiliser que HTTPS pour votre domaine, ce qui évite les attaques par rétrogradation.

Surveillez aussi les dates d'expiration, testez régulièrement votre configuration avec un outil d'analyse TLS, et gardez vos logiciels à jour. Un site protégé repose sur un ensemble : HTTPS, mises à jour, protection contre les logiciels malveillants et, pour les boutiques qui acceptent la carte bancaire, respect de la norme PCI DSS. Un CDN peut enfin servir votre site en HTTPS au plus près des visiteurs.