HTTPS et certificat
Le petit cadenas du navigateur : la garantie que ce qui circule entre le visiteur et votre site n'est pas lisible en route.
HTTPS est la version chiffrée de la connexion entre un navigateur et un site. Le certificat est le document qui prouve que le site est bien celui qu'il prétend être. Ensemble, ils produisent le cadenas affiché à gauche de l'adresse.
Sans HTTPS, tout ce qui circule est lisible par qui se trouve sur le chemin — l'opérateur du wifi du café, par exemple. Le nom, le téléphone et le message qu'un client tape dans votre formulaire de contact voyagent alors en clair.
Ce n'est pas une question de paiement en ligne. Un simple formulaire de contact suffit à rendre le chiffrement nécessaire, parce qu'il transporte des données personnelles.
Trois raisons, dans cet ordre :
- Les navigateurs le signalent. Chrome et Firefox affichent « Non sécurisé » à côté de l'adresse d'un site en HTTP. Un visiteur qui voit ça sur le site d'un restaurant ne réserve pas. - Google en tient compte dans son classement depuis des années. - Le RGPD vous demande de protéger les données que vous collectez. Un formulaire non chiffré est difficile à défendre.
Rien, dans l'immense majorité des cas. Let's Encrypt délivre des certificats gratuits, et à peu près tous les hébergements sérieux les installent et les renouvellent automatiquement.
Si on vous facture un certificat à 150 euros par an pour un site vitrine, demandez pourquoi. Les certificats payants existent et ont leur usage — validation étendue pour une banque, garanties contractuelles — mais un commerce de proximité n'en a pas besoin.
Tapez votre adresse en http:// et regardez si vous êtes automatiquement renvoyé vers https://. Si les deux versions répondent, vous avez deux sites aux yeux de Google, et vos signaux se divisent entre les deux.
Vérifiez aussi que le cadenas apparaît sur toutes les pages, pas seulement l'accueil. Une image chargée en http sur une page en https suffit à le faire disparaître.
Chez SesamWeb, le certificat est posé et renouvelé automatiquement, et la redirection vers https est en place dès la mise en ligne. Il n'y a rien à demander ni à surveiller.