Certificat SSL : c'est quoi et pourquoi votre site en a besoin 🔒

C’est quoi un certificat SSL ?

Un certificat SSL est un petit fichier installé sur le serveur de votre site. Il prouve l'identité du site et chiffre les échanges avec les visiteurs.

Imaginez une carte d’identité pour votre site, glissée dans une enveloppe scellée. Le certificat SSL joue ces deux rôles en même temps.

• La carte d’identité : il prouve au navigateur que le site est bien celui qu’il prétend être.
• L’enveloppe scellée : il brouille les informations qui circulent entre le visiteur et le site, pour que personne ne puisse les lire en route.

Ce que contient un certificat

Un certificat SSL n’est pas mystérieux. C’est un document numérique qui indique :

• le nom de domaine protégé (par exemple boulangerie-martin.fr) ;
• l’organisme qui l’a délivré ;
• sa date de début et sa date de fin de validité ;
• une « clé publique », une sorte de cadenas ouvert que tout le monde peut utiliser pour vous envoyer un message protégé.

Le certificat est lié à votre adresse web. Si vous ne voyez pas bien ce qu’est cette adresse, le guide sur ce qu’est un nom de domaine et à quoi il sert pose les bases.

Un exemple concret

Un boulanger propose la commande de gâteaux en ligne. Le client tape son nom, son téléphone et l’heure de retrait. Sans certificat, ces informations voyagent « en clair », lisibles par quelqu’un de mal intentionné sur le même réseau Wi-Fi.

Avec le certificat, elles partent chiffrées. Seul le site du boulanger peut les lire.

Comment le reconnaître

Vous le repérez en un coup d’œil :

• l’adresse commence par https:// au lieu de http:// ;
• une petite icône (cadenas ou réglages) apparaît à gauche de l’adresse ;
• aucun message « Non sécurisé » ne s’affiche.

Pour vous, patron de TPE, retenez une idée simple : le certificat SSL est aujourd’hui une base, comme une serrure sur la porte de votre boutique.

Quelle différence entre certificat SSL et TLS ?

SSL est l'ancien nom de la technologie, remplacée depuis des années par TLS, plus sûre. On dit toujours « certificat SSL » par habitude, mais il fonctionne en TLS.

Vous croiserez les deux sigles, parfois même ensemble : « certificat SSL/TLS ». Pas de panique, c’est la même famille.

Deux sigles, une même idée

• SSL veut dire Secure Sockets Layer. C’est la première version de cette technologie de protection, apparue dans les années 1990.
• TLS veut dire Transport Layer Security. C’est son successeur, plus moderne et plus solide.

Les anciennes versions de SSL ont montré des failles. Elles ont été abandonnées. Les navigateurs actuels utilisent TLS, dans ses versions récentes (1.2 et 1.3).

Pourquoi on dit encore « SSL »

Par habitude, tout simplement. Le nom SSL est resté dans les esprits, chez les hébergeurs et dans les offres commerciales. C’est un peu comme dire « frigo » pour un réfrigérateur moderne.

Quand votre hébergeur vous propose un « certificat SSL », il vous fournit en réalité un certificat utilisé avec le protocole TLS. Un protocole, c’est simplement une règle de communication entre deux machines.

Ce que ça change pour vous

Point	SSL (ancien)	TLS (actuel)
Statut	Abandonné	Standard en usage
Sécurité	Failles connues	Renforcée
Nom dans les offres	Toujours utilisé	Souvent cité à côté

En pratique, vous n’avez rien à choisir. Ce qui compte :

• que votre site affiche bien https ;
• que votre hébergeur garde son serveur à jour, pour ne pas accepter de vieilles versions ;
• que le certificat soit valide et renouvelé à temps.

Un coiffeur, un plombier ou un avocat n’a pas besoin de connaître les détails techniques. Il doit juste savoir que son site parle le langage sécurisé actuel. Si votre prestataire vous parle encore de « SSL v3 », posez-lui la question : c’est une version dépassée.

Comment fonctionne un certificat SSL ?

À chaque visite, le navigateur et le site se présentent, vérifient le certificat, puis s'accordent sur une clé secrète. Ensuite, tous les échanges sont chiffrés avec cette clé.

Tout se passe en une fraction de seconde, avant même que la page s’affiche. Les spécialistes appellent ça la « poignée de main ».

Les étapes, une par une

1. Le visiteur tape votre adresse. Son navigateur demande au serveur : « Qui es-tu ? »
2. Le serveur présente son certificat. Il montre sa carte d’identité, signée par un organisme de confiance.
3. Le navigateur vérifie. Le certificat est-il valide ? Est-il bien pour ce nom de domaine ? A-t-il été signé par un organisme reconnu ?
4. Les deux s’accordent sur un code secret. Grâce à la clé publique du certificat, ils créent une clé partagée que personne d’autre ne connaît.
5. La conversation devient chiffrée. Pages, formulaires, mots de passe : tout circule brouillé.

Clé publique et clé privée, en deux phrases

Le certificat contient une clé publique : un cadenas ouvert que tout le monde peut fermer. Seul votre serveur possède la clé privée : la seule clé qui rouvre ce cadenas.

C’est pour ça que la clé privée ne doit jamais sortir du serveur. Si elle est volée, la protection tombe.

Et si la vérification échoue ?

Le navigateur bloque l’accès et affiche un avertissement. Les causes les plus fréquentes :

• le certificat a expiré ;
• il a été émis pour une autre adresse (par exemple sans le « www ») ;
• il a été signé par un organisme que le navigateur ne connaît pas ;
• l’horloge de l’ordinateur du visiteur est déréglée.

Un exemple de la vie réelle

Un gîte en Dordogne propose un formulaire de réservation. Le vacancier saisit ses dates et son adresse e-mail. Grâce à la poignée de main, ces données partent protégées.

Le propriétaire du gîte n’a rien à faire à chaque visite. Tout est automatique, à condition que le certificat soit bien installé et à jour.

À quoi sert un certificat SSL et quel est son rôle ?

Le certificat SSL protège les données échangées, garantit qu'elles ne sont pas modifiées en route et prouve l'identité du site. Il rassure aussi vos visiteurs.

Le rôle d’un certificat SSL tient en trois missions techniques, plus un effet très concret sur votre activité.

Les trois missions

• La confidentialité : les informations saisies ne peuvent pas être lues pendant le trajet. Nom, téléphone, carte bancaire, mot de passe.
• L’intégrité : personne ne peut modifier la page en route. Sans protection, un réseau Wi-Fi piégé pourrait par exemple injecter une fausse publicité ou changer un numéro de téléphone.
• L’authentification : le visiteur est sûr d’être sur votre site, pas sur une copie.

Exemples par métier

Métier	Ce que le certificat protège
Avocat	Le formulaire de contact où un client décrit son problème
Plombier	La demande de devis avec adresse et téléphone
Gîte	La réservation et les coordonnées du vacancier
Boutique en ligne	Le compte client et le paiement
Coiffeur	La prise de rendez-vous en ligne

Même un site vitrine sans formulaire a besoin de l’intégrité. Personne ne doit pouvoir changer votre numéro de téléphone affiché.

La confiance, l’effet le plus visible

Les navigateurs affichent « Non sécurisé » à côté des sites en http. Un client qui voit ce message hésite. Il se demande si l’entreprise est sérieuse. Beaucoup ferment la page et appellent le concurrent.

Le certificat ne fait pas vendre à lui seul. En revanche, son absence peut faire fuir.

Et Google dans tout ça ?

Google a annoncé publiquement que le HTTPS compte parmi ses signaux de classement, avec un poids modeste. C’est une base, pas une recette miracle.

La visibilité se construit surtout avec un bon site et un vrai travail de fond. Le cas de TB Rénovation & Nettoyage, couvreur en Loire-Atlantique le montre : un site et un référencement local travaillés l’ont fait passer de 2 à 63 visites Google par jour entre juin 2025 et octobre 2026.

Quel est le lien entre HTTPS et certificat SSL ?

HTTPS est la version sécurisée de l'adresse web. Elle n'existe pas sans certificat SSL : c'est lui qui permet au « s » de sécurité de fonctionner.

Le « s » de https veut dire « sécurisé ». Il apparaît uniquement quand un certificat valide est installé sur le serveur.

HTTP et HTTPS, la différence

• HTTP : la règle de base pour afficher une page web. Les informations circulent en clair.
• HTTPS : la même règle, avec le chiffrement apporté par le certificat.

Sans certificat, impossible d’avoir une adresse en https. Avec un certificat mal installé, le navigateur affiche une erreur.

Installer le certificat ne suffit pas toujours

Beaucoup de sites ont un certificat, mais restent accessibles en http. Résultat : deux versions du même site cohabitent. Trois réglages sont à vérifier.

1. La redirection : toute visite en http doit basculer automatiquement vers https.
2. Les deux formes d’adresse : avec et sans « www » doivent fonctionner et mener au même endroit.
3. Le contenu mixte : si une image ou un script est encore appelé en http, le navigateur peut retirer le cadenas.

Le piège du contenu mixte

Un exemple courant : une fleuriste passe son site en https. Mais ses anciennes photos sont toujours chargées avec des adresses en http. Le navigateur signale alors que la page n’est pas entièrement sécurisée.

La solution : remplacer ces adresses par leur version https. Sur WordPress, des extensions aident à le faire, mais une vérification manuelle reste utile.

Un maillon parmi d’autres

Le HTTPS protège le trajet des données. Il ne protège pas votre site d’un mot de passe trop simple ou d’une extension pas à jour. Pour les sites WordPress, la liste des bons réflexes pour sécuriser un site WordPress complète utilement le certificat.

Pensez au HTTPS comme à la porte blindée. Elle est indispensable, mais elle ne remplace pas l’alarme ni les fenêtres bien fermées.

Qui peut délivrer un certificat SSL ?

Seule une autorité de certification reconnue par les navigateurs peut délivrer un certificat SSL valide. En pratique, votre hébergeur ou votre plateforme s'en charge souvent pour vous.

Tout le monde peut techniquement fabriquer un certificat. Mais seul un certificat signé par un organisme de confiance est accepté par les navigateurs.

Les autorités de certification

Une autorité de certification (on dit souvent « AC » ou « CA » en anglais) est un organisme qui vérifie les demandes et signe les certificats. Les navigateurs comme Chrome, Firefox ou Safari tiennent une liste des autorités en qui ils ont confiance.

Il en existe deux grandes familles :

• Les autorités gratuites, dont la plus connue est Let’s Encrypt, un organisme à but non lucratif. Son fonctionnement de validation automatique est expliqué sur son site officiel.
• Les autorités commerciales, qui vendent des certificats avec des niveaux de vérification et d’assistance variés.

Qui s’en occupe dans la pratique ?

Vous n’irez presque jamais voir une autorité de certification vous-même. Ce sont des intermédiaires qui gèrent la démarche :

• votre hébergeur : la plupart proposent un certificat gratuit activable en un clic ;
• votre plateforme : Wix, Shopify ou Squarespace incluent le certificat dans l’abonnement ;
• votre agence ou votre prestataire de maintenance ;
• un revendeur de certificats payants.

Le certificat « fait maison », à éviter

Un certificat dit « auto-signé » est créé par le serveur lui-même, sans autorité extérieure. Il chiffre, mais personne ne garantit l’identité du site. Les navigateurs affichent alors une alerte.

Il sert pour des tests internes, jamais pour un site public.

Gratuit ou payant ?

Pour un site vitrine de menuisier ou de restaurant, un certificat gratuit protège aussi bien qu’un payant. Le chiffrement est le même. La différence porte sur le niveau de vérification de l’entreprise et l’assistance.

Le comparatif certificat SSL gratuit ou payant : lequel choisir détaille les cas où payer a du sens.

Comment vérifier un certificat SSL ?

Ouvrez votre site, cliquez sur l'icône à gauche de l'adresse, puis sur les informations de connexion. Vous voyez si le certificat est valide, pour quel domaine et jusqu'à quand.

Vérifier son certificat prend moins d’une minute. Vous pouvez le faire sans aucune connaissance technique.

Dans Chrome, Edge ou Firefox

1. Ouvrez votre site dans le navigateur.
2. Regardez à gauche de l’adresse : une icône de cadenas ou de réglages doit apparaître.
3. Cliquez dessus. Le navigateur indique si « la connexion est sécurisée ».
4. Cliquez sur la ligne concernant le certificat pour voir le détail.

Google explique la démarche sur sa page d’aide pour vérifier si la connexion à un site est sécurisée dans Chrome.

Les trois informations à lire

• Émis pour : le nom de domaine doit être exactement le vôtre.
• Émis par : le nom de l’autorité de certification.
• Validité : la date de fin. Notez-la si le renouvellement n’est pas automatique.

Les signaux d’alerte

Ce que vous voyez	Ce que ça veut dire
« Non sécurisé »	Pas de certificat, ou site en http
Page rouge « Votre connexion n’est pas privée »	Certificat expiré, invalide ou mal installé
Cadenas barré ou avertissement discret	Contenu mixte sur la page
Nom de domaine différent	Certificat émis pour une autre adresse

Tester aussi les variantes

Un plombier vérifie souvent www.son-site.fr, mais oublie son-site.fr sans « www ». Testez les deux. Testez aussi en tapant volontairement http:// : vous devez être redirigé vers https.

N’oubliez pas les pages importantes : formulaire de contact, page de paiement, espace client.

Des outils en ligne pour aller plus loin

Des services gratuits analysent votre certificat en détail : chaîne de confiance, versions acceptées, configuration du serveur. Ils sont utiles pour votre prestataire, mais leurs résultats sont techniques.

Pour vous, la vérification au navigateur suffit dans la plupart des cas. Faites-la une fois par mois, comme vous relevez votre boîte aux lettres.

Un certificat SSL est-il obligatoire pour un site d’entreprise ?

Aucune loi française n'impose le mot « certificat SSL ». Mais dès que vous collectez des données personnelles, vous devez les sécuriser, et le HTTPS est la mesure de base attendue.

La question revient souvent chez les artisans qui ont un simple site vitrine. La réponse est nuancée, mais la conclusion pratique est claire.

Ce que dit la règle

Le RGPD, le règlement européen sur les données personnelles, oblige toute entreprise à protéger les données qu’elle collecte. Un nom, un e-mail ou un téléphone envoyé par formulaire sont des données personnelles.

La CNIL recommande clairement le chiffrement des échanges. Sa fiche pratique pour sécuriser les sites web cite l’usage de TLS parmi les mesures essentielles.

Les cas où il devient indispensable

• un formulaire de contact ou de devis ;
• une prise de rendez-vous en ligne ;
• un espace client avec mot de passe ;
• une boutique en ligne ou un paiement ;
• une inscription à une lettre d’information.

Un salon de coiffure avec réservation en ligne est concerné. Un avocat avec formulaire de premier contact aussi, d’autant que les informations sont souvent sensibles.

Et pour un site vitrine sans formulaire ?

Même sans collecte de données, l’absence de certificat pose problème :

• les navigateurs affichent « Non sécurisé » ;
• le contenu peut être modifié en route sur un réseau piégé ;
• certains navigateurs bloquent ou découragent l’accès aux sites en http.

Dans les faits, ne pas avoir de certificat n’est plus une option raisonnable. D’autant qu’il est souvent gratuit.

Les autres obligations à ne pas oublier

Le certificat ne fait pas tout. Votre site doit aussi afficher des informations légales précises : identité de l’entreprise, hébergeur, gestion des données. Le guide sur les mentions légales obligatoires d’un site internet fait le tour de ces points.

Un site en https, avec des mentions légales complètes et une politique de confidentialité claire : c’est la base sérieuse pour toute TPE.

Quels sont les différents types de certificats SSL ?

Il existe trois niveaux de vérification : DV (domaine), OV (organisation) et EV (validation étendue). Pour la plupart des artisans et commerçants, un certificat DV suffit largement.

Tous les certificats chiffrent de la même manière. Ce qui change, c’est ce que l’autorité vérifie avant de le délivrer, et le nombre d’adresses couvertes.

Par niveau de vérification

Type	Ce qui est vérifié	Délai habituel	Pour qui
DV (validation de domaine)	Que vous contrôlez l’adresse du site	Quelques minutes	Sites vitrines, petites boutiques
OV (validation d’organisation)	Le domaine + l’existence légale de l’entreprise	Quelques jours	Cabinets, sociétés établies
EV (validation étendue)	Contrôle approfondi de l’entreprise	Plusieurs jours	Banques, grandes structures

Autrefois, les certificats EV affichaient le nom de l’entreprise en vert dans la barre d’adresse. Les navigateurs ont retiré cet affichage. Pour le visiteur, la différence visible est devenue minime.

Par nombre d’adresses couvertes

• Domaine unique : protège une adresse, par exemple garage-dupont.fr (souvent avec et sans www).
• Wildcard : protège un domaine et tous ses sous-domaines, comme boutique.garage-dupont.fr ou blog.garage-dupont.fr.
• Multi-domaines : protège plusieurs adresses différentes avec un seul certificat.

Que choisir pour votre activité ?

Quelques repères simples :

• Un plombier, un boulanger, un gîte : un certificat DV gratuit, fourni par l’hébergeur, convient parfaitement.
• Une boutique en ligne sur Shopify ou Wix : le certificat est inclus, rien à acheter.
• Un cabinet d’expertise comptable qui veut afficher son identité vérifiée : un OV peut se justifier.
• Un commerçant avec plusieurs sites : un certificat multi-domaines ou plusieurs certificats gratuits.

Le piège à éviter

Méfiez-vous des offres qui vendent un certificat cher en promettant « plus de sécurité ». Le chiffrement d’un DV gratuit est aussi solide. Vous payez la vérification et le service, pas un meilleur cadenas.

Que se passe-t-il quand un certificat SSL expire ?

Quand un certificat expire, les navigateurs affichent une page d'alerte rouge avant votre site. La plupart des visiteurs repartent. Le renouvellement automatique et la surveillance évitent ce problème.

Un certificat SSL a toujours une date de fin. C’est voulu : des certificats courts limitent les risques si une clé est compromise.

Des durées de plus en plus courtes

• Les certificats gratuits de Let’s Encrypt durent 90 jours.
• Les certificats commerciaux durent environ un an au plus.
• Les navigateurs poussent vers des durées encore plus courtes à l’avenir.

Conséquence : le renouvellement doit être automatique. Le faire à la main devient risqué.

Ce que voit votre client

Le jour de l’expiration, votre site n’est pas « cassé ». Mais le visiteur tombe sur un message du type « Votre connexion n’est pas privée ». Pour aller plus loin, il doit cliquer sur des options avancées et accepter un risque.

Presque personne ne le fait. Imaginez un client qui cherche un couvreur après une tempête. Il voit l’alerte, il ferme, il appelle le suivant.

Pourquoi le renouvellement échoue parfois

Même automatique, le renouvellement peut rater :

• changement d’hébergeur ou de configuration du nom de domaine ;
• carte bancaire expirée pour un certificat payant ;
• erreur technique côté serveur passée inaperçue ;
• e-mails d’alerte envoyés à une ancienne adresse.

Comment s’en protéger

1. Vérifiez que le renouvellement automatique est activé chez votre hébergeur.
2. Notez la date d’expiration dans votre agenda, avec un rappel quelques semaines avant.
3. Mettez à jour l’adresse e-mail de contact chez votre hébergeur.
4. Contrôlez le cadenas une fois par mois.

Le plus simple reste de confier ce suivi à quelqu’un. Un bon contrat de maintenance de site internet inclut la surveillance du certificat, avec une alerte avant l’échéance.

C’est exactement ce que couvre notre service de maintenance de site internet : certificat, mises à jour et sauvegardes suivis, sans que vous ayez à y penser.

Comment installer un certificat SSL sur son site ?

Sur la plupart des hébergements, l'installation se fait depuis l'espace client en quelques clics. Sur Wix ou Shopify, c'est automatique. Il faut ensuite rediriger le site vers https.

L’installation est devenue simple. Mais quelques réglages après coup font la différence entre un site vraiment sécurisé et un site à moitié protégé.

Selon votre type de site

Votre site	Ce qu’il faut faire
Wix, Shopify, Squarespace	Rien en général : le certificat est activé automatiquement avec votre domaine
WordPress sur hébergement mutualisé	Activer le certificat gratuit dans l’espace client de l’hébergeur
Serveur dédié ou VPS	Installation technique, à confier à un prestataire
Site créé par une agence	Demander à l’agence si le certificat et son renouvellement sont gérés

Les étapes sur un hébergement classique

1. Connectez-vous à l’espace client de votre hébergeur.
2. Cherchez la rubrique « SSL », « Sécurité » ou « Certificats ».
3. Activez le certificat gratuit pour votre domaine, avec et sans www.
4. Attendez quelques minutes à quelques heures que l’activation se termine.
5. Vérifiez que l’adresse en https s’affiche avec le cadenas.

Les réglages à faire ensuite

• Rediriger http vers https, pour que tous les visiteurs arrivent sur la version sécurisée.
• Mettre à jour l’adresse du site dans les réglages de WordPress.
• Corriger le contenu mixte : images ou fichiers encore appelés en http.
• Mettre à jour vos liens sur votre fiche Google, vos réseaux sociaux et vos annuaires.

Faire la bascule sans gêner vos clients

Sur un site WordPress actif, le passage en https peut provoquer quelques minutes de pages qui s’affichent mal. Pour une boutique ou un site de réservation, mieux vaut prévenir.

Prenez un créneau calme, et affichez une page d’attente propre. La méthode pour mettre son site WordPress en mode maintenance proprement évite d’afficher un site cassé pendant les réglages.

Quand se faire aider

Si vous avez un message d’erreur, un site sur serveur dédié, ou une boutique avec paiement, faites-vous accompagner. Une mauvaise redirection peut rendre le site inaccessible. Une petite intervention coûte en général quelques dizaines à quelques centaines d’euros selon le prestataire et la complexité.