Qu'est-ce qu'un certificat SSL? Le guide complet - FR

Un certificat SSL est un fichier numérique qui crypte les données entre le navigateur d'un visiteur et le serveur de votre site Web.. C'est ce qui place l'icône de cadenas dans la barre d'adresse et change “http” à “https.” Sans un, les navigateurs avertissent les visiteurs que votre site n'est pas sécurisé, et toutes les données qu'ils saisissent voyagent sans protection.

Voici ce que la plupart des gens ne réalisent pas: SSL (Couche de sockets sécurisée) est en fait obsolète. La technologie que nous utilisons aujourd'hui est TLS (Sécurité de la couche de transport), mais tout le monde l'appelle toujours “SSL” par habitude. Quand quelqu'un mentionne un certificat SSL dans 2026, ils veulent dire un certificat TLS. Les termes sont interchangeables.

Ce guide explique comment fonctionnent les certificats SSL/TLS, les différents types disponibles, comment en obtenir un pour votre site Web, et pourquoi ils sont importants pour la sécurité et les classements de recherche.

Dernière mise à jour: février 2026. Toutes les statistiques et informations de protocole vérifiées.

Comment fonctionnent les certificats SSL

Un certificat SSL est un petit fichier de données installé sur un serveur web. Cela fait deux choses: cela prouve l’identité du site, et il permet une communication cryptée. Considérez-le comme une carte d'identité numérique combinée à une poignée de main secrète..

Le processus de cryptage

Lorsque vous visitez un site Web avec un certificat SSL, votre navigateur et le serveur passent par un processus appelé poignée de main TLS. Cela se produit en millisecondes, avant même que la page ne se charge.

La poignée de main fonctionne comme ça:

1. Votre navigateur contacte le serveur et demande une connexion sécurisée
2. Le serveur envoie son certificat SSL, qui contient une clé publique (un morceau de code utilisé pour le cryptage)
3. Votre navigateur vérifie le certificat en le comparant à une liste d'autorités de certification de confiance (AC)
4. Si valide, votre navigateur crée une clé de session, le chiffre avec la clé publique du serveur, et le renvoie
5. Le serveur décrypte la clé de session en utilisant sa clé privée (que seul le serveur possède)
6. Les deux parties partagent désormais la même clé de session et utilisez-le pour crypter toutes les données pendant la connexion

Ce système à deux clés (public et privé) est appelé chiffrement asymétrique. La partie intelligente? La clé publique peut être partagée ouvertement, mais seule la clé privée correspondante peut déchiffrer les données cryptées avec celle-ci. Une fois que les deux parties ont la clé de session, ils passent à un cryptage symétrique plus rapide pour le transfert de données réel.

Que contient un certificat SSL

Un certificat SSL contient plusieurs informations:

• Le nom de domaine pour lequel le certificat a été émis
• L'organisation ou la personne à laquelle il a été délivré
• L'autorité de certification qui l'a délivré
• La signature numérique de l’AC
• Les dates d’émission et d’expiration du certificat
• La clé publique

Les navigateurs utilisent ces informations pour vérifier qu'ils se connectent au site Web légitime, pas un imposteur.

Types de certificats SSL

Les certificats SSL diffèrent de deux manières: dans quelle mesure ils vérifient l’identité du titulaire du certificat, et combien de domaines ils couvrent.

Niveaux de validation

Validation de domaine (DV) est le type le plus basique. L'autorité de certification confirme uniquement que vous contrôlez le domaine, généralement via la vérification de l'e-mail ou l'ajout d'un enregistrement DNS. L'émission des certificats DV prend quelques minutes et leur coût varie de gratuit à $50 par an. Ils conviennent aux blogs personnels, portefeuilles, et petits sites qui ne gèrent pas de données sensibles.

Validation de l'organisation (VO) ajoute une couche de vérification d'identité. L'AC confirme que l'organisation existe, vérifie les documents d'enregistrement des entreprises, et vérifie l'adresse physique. Ce processus prend un à trois jours ouvrables. Les certificats OV conviennent aux entreprises, organisations à but non lucratif, et les sites gouvernementaux où les utilisateurs bénéficient de savoir qui se cache derrière le site Web.

Validation étendue (VE) implique le contrôle le plus approfondi. L'AC vérifie l'existence légale, emplacement physique, état opérationnel, et même le pouvoir du demandeur de demander le certificat. Neuf étapes de vérification supplémentaires sont requises par rapport à OV. L'émission prend cinq à quinze jours ouvrables et coûte entre $200 et $700 par an. Institutions financières, grands sites de commerce électronique, et les organismes de santé utilisent généralement des certificats EV.

Voici le piège: puisque 2019, les navigateurs n'affichent plus les différences visuelles entre ces types de certificats dans la barre d'adresse. Tous les sites sécurisés affichent la même icône de cadenas. Vous devez cliquer sur le cadenas et afficher les détails du certificat pour voir la différence.

Couverture du domaine

Certificats à domaine unique sécuriser exactement un domaine, comme exemple.com.

Certificats génériques sécuriser un domaine et tous ses sous-domaines. Un certificat pour *.example.com couvrirait blog.example.com, boutique.exemple.com, et tout autre sous-domaine. toutefois, les caractères génériques ne sont disponibles que pour les certificats DV et OV, pas VE.

Certificats multi-domaines (également appelé SAN ou Subject Alternative Names) sécuriser plusieurs domaines différents sous un seul certificat. Un seul certificat peut couvrir example.com, exemple.net, et differentsite.org.

Certificats SSL gratuits ou payants

Le cryptage d'un certificat gratuit est identique à celui d'un certificat payant. Aucune différence dans la sécurité réelle. Là où ils diffèrent, c'est le type de validation, soutien, et fonctionnalités supplémentaires.

Chiffrons et options gratuites

Let's Encrypt domine le marché SSL avec 63.4% part de marché en juin 2025. Il fournit des certificats DV gratuits largement approuvés par tous les principaux navigateurs.. D'autres options gratuites incluent ZeroSSL et le niveau gratuit de Cloudflare.

Les certificats gratuits ont certaines limites:

• Seule la validation DV est disponible (pas de VO ni EV)
• Les certificats expirent tous les 90 journées (le renouvellement automatisé gère cela)
• Aucune garantie ni assistance
• Pas de sceau de site ni de badge de confiance

Pour la plupart des sites Web, ces limitations n'ont pas d'importance. Un blog personnel, portefeuille, ou le site d'une petite entreprise fonctionne parfaitement avec un certificat gratuit.

Quand les certificats payants ont du sens

Envisagez un certificat payant si vous en avez besoin:

• Organisation ou validation étendue pour afficher des informations commerciales vérifiées
• Protection de la garantie (allant de $10,000 à $1,500,000 selon le certificat)
• Un support dédié pour les problèmes de certificat
• Sceaux de chantier que certaines études suggèrent d'augmenter les conversions de paiement

Sites de commerce électronique traitant les paiements par carte de crédit, banques, et les organismes de santé ont tendance à choisir des certificats OV ou EV payants. Les signaux de confiance et la protection juridique justifient le coût pour ces entreprises.

Comment obtenir un certificat SSL

Prêt à ajouter SSL à votre site? Il existe trois approches principales, du plus simple au plus pratique.

Option 1: Via votre hébergeur Web (Le plus simple)

La plupart des fournisseurs d'hébergement incluent désormais des certificats SSL gratuits. Recherchez l'intégration Let's Encrypt ou une option SSL en un clic dans votre panneau de contrôle d'hébergement. Des fournisseurs comme ceux de notre comparaison d'hébergement mutualisé gère généralement l’ensemble de la configuration automatiquement.

Les étapes varient selon l'hôte, mais en général:

1. Connectez-vous à votre panneau de contrôle d'hébergement (cPanel, Plesk, ou tableau de bord personnalisé)
2. Recherchez la section Sécurité ou SSL
3. Activez SSL gratuit ou Let's Encrypt
4. Attendez quelques minutes que le certificat s'installe

Aucune connaissance technique requise. L'hébergeur gère l'installation et le renouvellement automatique.

Option 2: Directement depuis une autorité de certification

Pour acheter un certificat payant ou si votre hébergeur ne propose pas de SSL gratuit:

1. Choisissez une autorité de certification (DigiCert, Sectigo, GlobalSign, et GoDaddy sont des fournisseurs majeurs)
2. Sélectionnez votre type de certificat (DV, VO, ou VE) et couverture de domaine
3. Générer un CSR (Demande de signature de certificat) depuis votre serveur
4. Validation complète (email, DNS, ou vérification de fichier pour DV; documentation supplémentaire pour OV/EV)
5. Téléchargez et installez le certificat émis sur votre serveur

Le CSR contient la clé publique et les informations de domaine de votre serveur. La documentation de votre fournisseur d'hébergement explique généralement comment en générer un.

Option 3: Gratuit de Let's Encrypt directement

Si votre hébergeur ne prend pas automatiquement en charge Let's Encrypt, vous pouvez l'installer manuellement à l'aide de Certbot ou d'un ACME similaire (Environnement de gestion automatisée des certificats) clients. Ces outils automatisent la demande de certificat et le processus d'installation:

1. Installez Certbot sur votre serveur
2. Exécutez la commande correspondant à votre type de serveur Web (Apache, Nginx, etc.)
3. Certbot obtient et installe automatiquement le certificat
4. Configurer le renouvellement automatique (Certbot peut aussi le faire)

Cela nécessite un accès en ligne de commande à votre serveur. C'est courant sur Hébergement VPS où vous gérez vous-même le serveur.

Vérification de votre installation

Après avoir installé un certificat SSL, vérifie que ça marche:

• Visitez votre site avec https:// et cherchez l'icône du cadenas
• Utiliser un outil de vérification SSL (Acheteur SSL, Laboratoires SSL, ou similaire) pour vérifier la bonne configuration
• Tester toutes les pages, pas seulement la page d'accueil
• Vérifiez que les URL HTTP redirigent vers HTTPS

Comment vérifier si un site Web dispose de SSL

Vous voulez savoir si un site que vous visitez est sécurisé? Voici ce qu'il faut rechercher:

• Regardez l'URL. Les sites sécurisés commencent par https:// (notez le “s”). Les sites non sécurisés utilisent http://.
• Vérifiez le cadenas. Une icône de cadenas verrouillé apparaît dans la barre d'adresse pour des connexions sécurisées.
• Cliquez sur le cadenas. Cela révèle les détails du certificat: qui l'a délivré, quand il expire, et à quelle organisation il appartient.
• Surveillez les avertissements. Affichage des navigateurs “Pas sécurisé” ou bloquer entièrement l'accès aux sites dont les, invalide, ou certificats manquants.

Si vous êtes sur le point de saisir des informations sensibles et que vous ne voyez pas https:// ou un cadenas, ne continue pas.

Certificats SSL et référencement

SSL aide-t-il votre classement Google? Sorte de. Google a confirmé HTTPS comme facteur de classement dans 2014, mais son impact aujourd'hui est minime.

John Mueller de Google a déclaré que SSL ne fonctionne pas “booster” SEO, puisque pratiquement tous les sites utilisent désormais HTTPS. Avec 92.6% des meilleurs sites utilisant HTTPS par défaut (W3Techs, janvier 2026), tout avantage de classement est effectivement annulé car tout le monde l'a.

Cela dit, SSL est toujours important pour le référencement de manière indirecte:

• Les avertissements du navigateur nuisent à l'expérience utilisateur. Chrome et autres navigateurs s'affichent “Pas sécurisé” avertissements pour les sites HTTP, faire partir les visiteurs.
• Conservation des données de référence. Le trafic des sites HTTPS vers les sites HTTP perd les informations de référence dans l'analyse.
• Vitaux Web de base. Un site HTTPS correctement configuré utilisant TLS 1.3 peut en fait se charger plus rapidement grâce à la poignée de main améliorée du protocole.

L'essentiel: SSL ne vous poussera pas à en positionner un, mais son absence nuit activement à votre site. C'est une exigence de base, pas un avantage concurrentiel.

Problèmes SSL courants et correctifs

Les erreurs SSL semblent effrayantes, mais la plupart ont des correctifs simples.

Certificat expiré

Les certificats ont des durées de validité limitées, maintenant généralement 90 jours pour les certificats gratuits et jusqu'à un an pour les certificats payants. Lorsqu'un certificat expire, les navigateurs affichent un avertissement pleine page qui bloque l'accès à votre site. Les visiteurs voient des messages alarmants comme “Votre connexion n'est pas privée” ou “SEC_ERROR_EXPIRED_CERTIFICATE.” La plupart ne cliqueront pas au-delà de cet avertissement. Ils partiront.

Si vous voyez un avertissement d'expiration sur votre propre site, contactez votre fournisseur d'hébergement ou renouvelez manuellement. Mieux encore: configurer le renouvellement automatique pour éviter complètement cela.

Incompatibilité de nom

Cette erreur apparaît lorsque le certificat ne correspond pas au domaine que vous visitez. Causes courantes: visiter www.example.com lorsque le certificat couvre uniquement example.com (ou vice versa), ou une faute d'orthographe du domaine lors de la commande du certificat. Le correctif consiste à garantir que votre certificat couvre toutes les variantes de votre nom de domaine.

Contenu mixte

Votre site se charge via HTTPS, mais quelques images, scénarios, ou les feuilles de style se chargent via HTTP. Les navigateurs signalent cela comme non sécurisé. Corrigez-le en mettant à jour toutes les URL de ressources vers HTTPS ou en utilisant des URL relatives au protocole.

Autorité de certification non fiable

Les navigateurs maintiennent des listes d'autorités de certification de confiance. Les certificats auto-signés ou ceux provenant d'autorités de certification inconnues déclenchent des avertissements. Utiliser une autorité de certification reconnue, ou si vous testez localement, ajoutez votre certificat de développement au magasin de confiance de votre système.

Problèmes de version TLS

Serveurs utilisant des protocoles obsolètes (SSL 3.0, TLS 1.0, ou TLS 1.1) provoquera des erreurs de connexion dans les navigateurs modernes. Ces protocoles étaient obsolètes en raison de failles de sécurité. Configurez votre serveur pour utiliser TLS 1.2 Au minimum, de préférence TLS 1.3.

L'état actuel de TLS (2026)

Beaucoup de choses ont changé depuis que Netscape a créé SSL en 1994.

Chronologie du protocole

• 1994: SSL 1.0 développé mais jamais publié (failles de sécurité)
• 1995: SSL 2.0 lancé (obsolète 2011)
• 1996: SSL 3.0 libéré (obsolète 2015 après l'attaque d'un CANICHE)
• 1999: TLS 1.0 arrive comme “SSL3.1” avec un nouveau nom (obsolète 2021)
• 2006: TLS 1.1 libéré (obsolète 2021)
• 2008: TLS 1.2 libéré (norme minimale actuelle)
• 2018: TLS 1.3 libéré (dernier, conseillé)

Aujourd'hui, TLS 1.2 est le protocole minimum acceptable. De nombreux hébergeurs et navigateurs se tournent vers TLS 1.3 comme valeur par défaut.

TLS 1.3, libéré dans 2018, est désormais soutenu par 75.3% des meilleurs sites Web. Il offre des poignées de main plus rapides, supprime les algorithmes cryptographiques obsolètes, et applique un secret de transmission parfait (PSF) par défaut. PFS signifie que chaque session utilise des clés de chiffrement uniques. Même si quelqu’un vole la clé privée du serveur plus tard, ils ne peuvent pas décrypter les conversations passées.

Changements à venir

Plusieurs changements se produisent dans 2026:

• Durées de vie des certificats plus courtes. La validité maximale passe à six mois 2026, pour finalement atteindre 47 jours par 2029. Cela rend le renouvellement automatisé essentiel.
• Mode Chrome HTTPS-First. À partir d'octobre 2026 (Chrome 154), les sites HTTP non chiffrés nécessiteront l'autorisation explicite de l'utilisateur pour se charger.
• Chiffrons l'alignement. Puisque Let's Encrypt utilise déjà des certificats de 90 jours avec renouvellement automatique, les sites qui l'utilisent ne remarqueront pas de changements majeurs dans le flux de travail.

Avez-vous besoin d'un certificat SSL?

Réponse courte: Oui. Si votre site collecte des informations sur les utilisateurs, gère les connexions, ou traite les paiements, SSL est obligatoire. Mais même un simple site de brochures bénéficie du HTTPS.

Sans SSL:

• Les navigateurs étiquettent votre site “Pas sécurisé”
• Les formulaires de contact transmettent des données en texte brut
• Les utilisateurs sont moins susceptibles de faire confiance à votre site
• Quelques fonctionnalités (comme les API de géolocalisation) ne fonctionne pas sur les sites HTTP

Pour le commerce électronique spécifiquement, SSL est une exigence de conformité PCI si vous traitez des données de carte de crédit. Voir notre Guide d'hébergement de commerce électronique WordPress pour en savoir plus sur la configuration sécurisée d'une boutique en ligne.

Choisir le bon certificat

Faites correspondre le type de certificat aux besoins de votre site:

Blog personnel ou portfolio? Le certificat DV gratuit de Let's Encrypt est parfait. Pas besoin de payer. Si tu es juste démarrer un site Web, la plupart des hôtes l'incluent automatiquement.

Site Web pour petites entreprises? Le DV gratuit fonctionne bien, sauf si vous souhaitez afficher des informations commerciales vérifiées, auquel cas considérer OV.

Site de commerce électronique? OV ou EV en fonction du volume de transactions et de l'importance des signaux de confiance pour vos clients. La garantie peut également être pertinente.

Services financiers, soins de santé, ou entreprise? EV offre le plus haut niveau d'identité vérifiée. Cela est important pour la conformité réglementaire et la confiance des clients. Hébergement dédié les environnements sont souvent associés à des certificats EV pour une sécurité maximale.

Plusieurs sous-domaines? Un certificat générique permet d'économiser de l'argent et simplifie la gestion par rapport aux certificats individuels.

Plusieurs domaines différents? Un certificat multi-domaines/SAN les couvre tous en un seul achat.

Questions fréquemment posées

Un certificat SSL gratuit est-il aussi sécurisé qu'un certificat payant?

Oui. La force de cryptage est identique. Les certificats gratuits de Let's Encrypt utilisent les mêmes protocoles TLS et suites de chiffrement que les certificats payants coûteux. Les différences sont au niveau de la validation (gratuit est uniquement en DV), garantie (aucun gratuitement), et soutien (communauté seulement). À des fins de cryptage, gratuit est tout aussi sécurisé.

À quelle fréquence les certificats SSL doivent-ils être renouvelés?

Les certificats gratuits de Let's Encrypt expirent tous les 90 jours mais renouveler automatiquement. Les certificats payants durent généralement un an. À partir de 2026, l'industrie s'oriente vers des périodes de validité plus courtes, les maximums de 90 jours devenant la norme d'ici 2029. Le renouvellement automatique devient indispensable.

SSL améliorera-t-il mon classement Google?

Pas de manière significative. Google appelle HTTPS un “facteur de classement léger.” Depuis plus 92% des meilleurs sites utilisent déjà HTTPS, l'avoir ne vous donne pas un avantage. toutefois, ne pas l'avoir vous nuit activement à travers les avertissements du navigateur qui font fuir les visiteurs. Considérez SSL comme une exigence, pas une amélioration du classement.

Quelle est la différence entre SSL et TLS?

SSL (Couche de sockets sécurisée) était le protocole original, dernière mise à jour en 1996. TLS (Sécurité de la couche de transport) je l'ai remplacé à partir de 1999. Toutes les versions SSL sont désormais obsolètes en raison de failles de sécurité. Ce que nous appelons “Certificats SSL” aujourd'hui, j'utilise réellement TLS. Le nom est resté même si la technologie sous-jacente a changé.

Ai-je besoin de SSL si mon site ne dispose pas de formulaires ou de connexions?

Oui. Même sans formulaires, affichage des navigateurs “Pas sécurisé” avertissements sur les sites HTTP. Cela nuit à la confiance et peut augmenter les taux de rebond. aditionellement, certaines fonctionnalités du navigateur nécessitent HTTPS, et les analyses perdent les données de référence des sites HTTPS vers les sites HTTP. Puisque SSL gratuit est disponible, il n'y a aucune raison de l'ignorer.

Pourquoi mon navigateur indique-t-il qu'un site est “Pas sécurisé” même avec un cadenas?

Cela indique généralement un contenu mixte: la page principale se charge via HTTPS, mais quelques images, scénarios, ou les feuilles de style se chargent via HTTP. Les navigateurs le signalent car les ressources non chiffrées pourraient être interceptées ou modifiées.. Le propriétaire du site doit mettre à jour toutes les URL de ressources pour utiliser HTTPS..