HTTPS : définition et explications

Le HTTPS (Hypertext Transfer Protocol Secure) est du HTTP ordinaire transporté sur une connexion TLS chiffrée. Il offre trois garanties à chaque visite : le chiffrement (personne sur le réseau ne peut lire le trafic), l’intégrité (personne ne peut le modifier en transit, par exemple pour injecter des publicités ou des logiciels malveillants) et l’authentification (le navigateur a vérifié, grâce à un certificat SSL, qu’il parle au vrai domaine). Le schéma d’URI https est défini dans la RFC 9110.

Pourquoi le HTTPS compte pour le SEO

• Un signal de classement. Google a annoncé le HTTPS comme signal de classement en 2014. C’est un signal léger, mais il fait partie des critères d’expérience de page de Google.
• Préférence canonique. Quand une même page est disponible en HTTP et en HTTPS, Google préfère généralement l’URL HTTPS comme canonique.
• Avertissements des navigateurs. Chrome et les autres navigateurs étiquettent les pages HTTP « Non sécurisé », et les formulaires sur des pages HTTP déclenchent des avertissements plus forts. Les visiteurs le remarquent.
• Fonctionnalités modernes. HTTP/2 et HTTP/3 dans les navigateurs, les service workers, la géolocalisation et de nombreuses autres API exigent un contexte sécurisé : les sites en HTTP sont donc plus lents et plus limités par conception.
• Données de référent. Quand un site HTTPS renvoie vers une page HTTP, les navigateurs suppriment le référent par défaut : les sites HTTP perdent des données d’attribution.

Migrer de HTTP vers HTTPS

Installer un certificat est la partie facile. Une migration propre exige que tous les signaux concordent :

1. Servez chaque page en HTTPS avec un certificat valide couvrant tous les noms d’hôte que vous utilisez.
2. Redirigez chaque URL HTTP vers son équivalent HTTPS avec une seule redirection 301, vers le même chemin et non vers la page d’accueil.
3. Mettez à jour les balises canonical, les annotations hreflang, les liens internes et les sitemaps avec des URL HTTPS.
4. Corrigez le contenu mixte : images, scripts ou feuilles de style encore chargés en http://.
5. Ajoutez le HSTS (HTTP Strict Transport Security) une fois que tout fonctionne, pour que les navigateurs cessent complètement d’essayer le HTTP.

Un bloc de redirection Nginx typique :

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://www.example.com$request_uri;
}

Erreurs courantes

• Le contenu mixte. Les navigateurs bloquent les scripts et autres contenus actifs chargés en HTTP depuis une page HTTPS, ce qui peut casser silencieusement menus, formulaires ou outils d’analyse. Voir MDN sur le contenu mixte.
• Tout rediriger vers la page d’accueil au lieu de faire correspondre chaque URL à son équivalent HTTPS.
• Les redirections en chaîne, comme HTTP → HTTPS → www → barre oblique finale. Combinez-les en un seul saut.
• Des certificats qui ne couvrent pas tous les noms d’hôte, si bien que www fonctionne mais que le domaine nu affiche une erreur.
• Oublier les renouvellements, ce qui laisse les visiteurs face à un avertissement de certificat plein écran.

Comment vérifier

Le Vérificateur SSL affiche l’émetteur du certificat, ses dates de validité et les jours restants, les domaines couverts, la version de TLS et si le HTTP redirige vers le HTTPS. Associez-le au En-têtes de sécurité pour confirmer que le HSTS et les autres en-têtes de protection sont en place.

Questions fréquentes