Pourquoi sécuriser son site avec HTTPS : sécurité, confiance et SEO

Article publié en 2017, entièrement réécrit et mis à jour en octobre 2026.

Il y a quelques années, le HTTPS était surtout réservé aux pages de paiement. Aujourd’hui, c’est la norme pour tous les sites, y compris les sites vitrines et les blogs. Les navigateurs affichent un avertissement « Non sécurisé » sur les pages en HTTP, et Google utilise le HTTPS comme signal de classement depuis 2014.

Si votre site n’est pas encore entièrement en HTTPS, ou si la migration a été faite à moitié, ce guide explique à quoi sert le chiffrement, quel certificat choisir, comment passer en HTTPS sans perdre de trafic et comment vérifier que tout est en ordre.

HTTP, HTTPS, SSL, TLS : de quoi parle-t-on ?

Le HTTP est le protocole qui permet à votre navigateur de dialoguer avec un site web. Le HTTPS est sa version sécurisée : le S signifie « secure ». Les échanges y sont chiffrés grâce au protocole TLS, successeur du SSL dont le nom est resté dans le langage courant (on parle toujours de « certificat SSL »).

Le certificat installé sur votre serveur joue deux rôles :

• chiffrer les données échangées pour qu’elles soient illisibles si elles sont interceptées ;
• prouver l’identité du site, pour que le visiteur soit sûr de parler au bon serveur et non à un imposteur.

Pourquoi le HTTPS est indispensable aujourd’hui

La confiance des visiteurs

Un visiteur qui voit « Non sécurisé » dans la barre d’adresse hésite à remplir un formulaire, et encore plus à payer. À l’inverse, l’absence d’alerte lui permet de se concentrer sur votre offre. Sur une boutique en ligne, c’est une condition de base de la conversion.

La protection des données

Sans chiffrement, les identifiants, coordonnées et messages envoyés par vos formulaires circulent en clair. Sur un réseau Wi-Fi public, ils peuvent être interceptés. Le HTTPS fait partie des mesures attendues pour protéger les données personnelles de vos visiteurs.

Le référencement

Google utilise le HTTPS comme signal de classement depuis 2014. Son poids reste léger face à la pertinence du contenu, mais à qualité égale, un site sécurisé est préféré. Le HTTPS est aussi nécessaire pour de nombreuses technologies modernes du web, comme le protocole HTTP/2 ou certaines fonctionnalités des navigateurs.

Les fonctionnalités du navigateur

Géolocalisation, notifications, paiements intégrés, applications web installables : les navigateurs réservent de plus en plus de fonctionnalités aux sites en HTTPS.

Quel certificat choisir ?

Pour la plupart des sites, un certificat à validation de domaine suffit. Des autorités comme Let’s Encrypt les délivrent gratuitement, et la plupart des hébergeurs les installent et les renouvellent automatiquement. Le niveau de chiffrement est le même que pour un certificat payant.

Passer son site en HTTPS sans perdre de trafic

1. Sauvegarder le site complet, fichiers et base de données.
2. Installer le certificat via votre hébergeur ou votre CDN, et vérifier qu’il couvre les versions avec et sans « www ».
3. Mettre à jour l’adresse du site dans le CMS pour qu’elle commence par https.
4. Remplacer les liens internes en http par leur version https dans les contenus, menus et réglages.
5. Mettre en place des redirections 301 de toutes les URL en http vers leur équivalent en https.
6. Corriger le contenu mixte : images, scripts et feuilles de style appelés en http.
7. Mettre à jour les outils : sitemap, Google Search Console, Google Analytics, campagnes publicitaires, profils sociaux.
8. Surveiller pendant quelques semaines l’indexation et le trafic dans la Search Console.

Comme pour toute migration, les redirections sont la clé pour conserver vos positions. Nous détaillons ces précautions dans nos conseils de migration SEO.

Une migration HTTPS mal faite peut coûter des positions. Faites vérifier votre site par un audit SEO

Le contenu mixte, l’erreur la plus fréquente

On parle de contenu mixte quand une page en HTTPS charge des ressources en HTTP : une image, un script, une police. Selon les cas, le navigateur bloque la ressource ou affiche un avertissement, et la page peut perdre son cadenas.

Pour le détecter, ouvrez la console de développement du navigateur ou utilisez un outil d’exploration du site. La correction consiste à remplacer les adresses en http par des adresses en https, directement dans les contenus ou via une recherche et remplacement dans la base de données.

Aller plus loin : HSTS et bonnes pratiques

• Activer HSTS : cet en-tête indique aux navigateurs de toujours utiliser HTTPS pour votre site, même si l’utilisateur tape une adresse en http. Commencez avec une durée courte, puis allongez-la une fois la configuration validée.
• Désactiver les anciennes versions de TLS et les algorithmes faibles au niveau du serveur.
• Surveiller l’expiration du certificat : un certificat expiré bloque l’accès au site avec un message alarmant. C’est l’une des pannes silencieuses qui coûtent le plus cher.
• Tester régulièrement la configuration avec un outil d’analyse SSL en ligne.

Le HTTPS ne suffit pas à sécuriser un site

Le cadenas garantit que les échanges sont chiffrés, pas que le site est sain. Un site en HTTPS peut être piraté s’il n’est pas mis à jour, si ses mots de passe sont faibles ou si ses extensions comportent des failles. Le HTTPS est une base, à compléter par :

• les mises à jour régulières du CMS, des extensions et du serveur ;
• des sauvegardes automatiques testées ;
• un pare-feu applicatif et une surveillance ;
• des accès d’administration protégés par une authentification forte.

Pour une vue d’ensemble, lisez la sécurité web expliquée sans jargon ou faites réaliser un audit de sécurité.

Questions fréquentes

Le HTTPS est-il obligatoire ?

Il n’est pas imposé par la loi pour tous les sites, mais il est devenu indispensable en pratique : les navigateurs signalent les pages en HTTP comme non sécurisées, et toute page qui collecte des données personnelles ou des paiements doit être chiffrée.

Un certificat SSL gratuit est-il suffisant ?

Oui pour la grande majorité des sites. Un certificat gratuit à validation de domaine offre le même niveau de chiffrement qu’un certificat payant. Les certificats payants apportent surtout une vérification de l’organisation ou une garantie commerciale.

Le passage en HTTPS fait-il perdre des positions dans Google ?

Pas s’il est bien réalisé. Avec des redirections 301 de toutes les anciennes URL, la mise à jour des liens internes et du sitemap, et un suivi dans la Search Console, les positions se maintiennent, avec parfois une légère fluctuation temporaire.

Qu’est-ce que le contenu mixte ?

C’est une page en HTTPS qui charge des ressources en HTTP, comme des images ou des scripts. Le navigateur peut les bloquer ou retirer le cadenas. Il faut remplacer ces adresses par leur version en HTTPS.

Qu’est-ce que HSTS ?

HSTS est un en-tête qui demande aux navigateurs d’utiliser toujours HTTPS pour un site. Il protège contre les tentatives de faire basculer la connexion en HTTP non chiffré.

En résumé

Le HTTPS est aujourd’hui la base de tout site professionnel : il protège les données, rassure les visiteurs, évite les alertes des navigateurs et compte pour le référencement. La migration est simple si elle est bien préparée : certificat, redirections 301, correction du contenu mixte et mise à jour des outils. Pour aller plus loin, découvrez notre offre de protection de site web.