Ce que le cadenas dit, et ce qu'il ne dit pas
Le petit cadenas de la barre d'adresse est probablement le symbole de sécurité le plus mal compris du web. Il affirme exactement deux choses : les données échangées entre le navigateur et le serveur sont chiffrées, donc illisibles pour qui les intercepte, et le serveur qui répond est bien celui qui contrôle ce nom de domaine.
Il ne dit rien d'autre. Pas que le site est honnête, pas que l'entreprise existe, pas que vos données seront bien traitées ensuite. Un site de hameçonnage obtient un certificat gratuit en quelques minutes, exactement comme vous. C'est pour cela que « vérifiez le cadenas » n'est plus, depuis longtemps, un conseil de sécurité suffisant à donner à ses clients.
Ce que le certificat change pour vous, en revanche, est très concret. Sans lui, les navigateurs affichent un avertissement en pleine page, Google déclasse, et les formulaires sont signalés comme non sécurisés au moment précis où le visiteur allait vous laisser son numéro de téléphone.
Les trois pannes qui coûtent le plus cher
1. L'expiration. Un certificat a une durée de vie courte, souvent 90 jours. Le renouvellement est normalement automatique, mais il casse : une migration, un changement de DNS, un pare-feu qui bloque la validation. Le jour où il expire, le site devient inaccessible derrière un écran rouge pour tout le monde, sans préavis et sans que rien ne se soit passé côté site. C'est la panne la plus fréquente et la plus violente.
2. Le certificat qui ne couvre pas toutes les variantes. Un certificat émis pour exemple.fr ne couvre pas www.exemple.fr, et inversement. Le visiteur qui tape la variante non couverte tombe sur l'avertissement. Le cas classique : tout fonctionne depuis les liens du site, et échoue depuis une carte de visite où l'adresse est écrite avec le www.
3. Le contenu mixte. La page est servie en HTTPS mais appelle une image, un script ou une feuille de style en HTTP. Le navigateur bloque la ressource ou dégrade l'affichage du cadenas. C'est presque toujours un reliquat de migration : le site est passé en HTTPS, une poignée d'adresses écrites en dur dans le contenu ne l'ont pas suivi.
Faut-il payer son certificat ?
Dans l'immense majorité des cas, non. Un certificat gratuit délivré par une autorité reconnue chiffre exactement aussi bien qu'un certificat payant : le niveau de chiffrement ne dépend pas du prix. La différence porte sur la validation de l'identité de l'entreprise derrière le domaine, et sur les garanties contractuelles.
Or les navigateurs ont cessé d'afficher différemment les certificats à validation étendue. Le bandeau vert avec la raison sociale, qui justifiait la dépense, n'existe plus dans les navigateurs courants. Pour un site vitrine, une boutique de taille modeste ou un site de services, le certificat gratuit renouvelé automatiquement est le bon choix, et c'est ce que fournit par défaut la quasi-totalité des hébergeurs.
Le vrai sujet n'est pas le prix du certificat, c'est ce qu'il y a autour : la redirection systématique de HTTP vers HTTPS, en une seule étape, et les en-têtes de sécurité HTTP qui empêchent un navigateur de retomber en clair.
Vérifier le vôtre en deux minutes
Trois gestes, sans outil et sans accès au serveur :
- La date. Cliquez sur le cadenas, puis sur les détails du certificat. Notez la date de fin de validité. Si elle tombe dans moins de trente jours et que vous ne savez pas qui renouvelle, vous avez trouvé votre prochaine tâche.
- Les deux variantes. Tapez votre adresse avec le www, puis sans. Les deux doivent arriver sur la même page, sans avertissement, et l'adresse finale doit être la même dans les deux cas.
- Le contenu mixte. Ouvrez la console du navigateur avec la touche F12, onglet Console, et rechargez. Un message contenant « Mixed Content » nomme précisément la ressource fautive.
Si vous voulez la même chose sans ouvrir la console, notre audit gratuit la mesure de l'extérieur et vous rend le résultat en clair, avec le correctif à appliquer.
HSTS : le verrou qui empêche le retour en arrière
Le certificat chiffre la connexion, mais il ne garantit pas que le visiteur l'utilise. Quelqu'un qui tape votre adresse sans préciser le protocole arrive d'abord en HTTP, en clair, avant d'être redirigé. Cette première requête, aussi brève soit-elle, voyage sans protection et peut être détournée.
L'en-tête Strict-Transport-Security ferme cette fenêtre. Il dit au navigateur : pour ce domaine, n'utilise plus jamais autre chose que HTTPS, pendant la durée indiquée. Le navigateur mémorise l'instruction et bascule tout seul, sans passer par le serveur. La redirection reste là pour la toute première visite, mais toutes les suivantes partent directement chiffrées.
Reste le cas de la première visite d'un navigateur qui ne connaît pas encore votre domaine. C'est ce que règle la liste de préchargement : en ajoutant le jeton preload à l'en-tête et en inscrivant le domaine sur la liste publique, votre domaine est embarqué dans les navigateurs eux-mêmes. Même la première visite est protégée.
⚠️ Un avertissement, parce que ce réglage est difficile à défaire : le préchargement s'applique par défaut à tous vos sous-domaines, et sortir de la liste prend des mois. Si un sous-domaine interne ne sait pas parler HTTPS, il deviendra inaccessible. Vérifiez-les tous avant de vous inscrire, et commencez par une durée courte que vous allongerez une fois rassuré.
Ce que notre audit mesure
La catégorie TLS et certificat compte 6 vérifications : HTTPS actif, présence de l'en-tête HSTS, longueur de la chaîne de redirection depuis HTTP, absence de contenu mixte, validité DNSSEC et présence d'un enregistrement CAA. Une septième mesure, dans la catégorie nom de domaine, donne le nombre de jours restants avant l'expiration du dernier certificat émis pour votre domaine, lu dans les journaux publics de transparence des certificats.
Ce que l'audit ne fait pas : il ne juge pas l'autorité qui a émis le certificat, et il ne peut pas savoir si votre renouvellement automatique fonctionne. Il vous dit combien de jours il reste. C'est à vous de vérifier que quelque chose est prévu avant l'échéance.