HTTPS et certificat TLS

HTTPS (HyperText Transfer Protocol Secure) est la version sécurisée du protocole HTTP : les échanges entre le navigateur et le serveur passent par TLS (Transport Layer Security), qui les chiffre et en garantit l'intégrité, et le serveur prouve son identité par un certificat délivré par une autorité de certification. Google en a fait un signal de classement en août 2014, de faible poids, et les navigateurs ont progressivement signalé les pages non sécurisées. Aujourd'hui, HTTPS n'est plus un avantage mais un prérequis : Chrome demandera à partir d'octobre 2026 une confirmation avant d'ouvrir tout site public sans HTTPS, et une migration HTTP vers HTTPS reste une migration d'URL à conduire avec soin.

Définition détaillée de HTTPS

HTTP transporte les pages web en clair : n'importe quel équipement placé entre le visiteur et le serveur (réseau wifi, opérateur, proxy) peut lire le contenu, le modifier ou rediriger la navigation. HTTPS insère entre HTTP et le réseau une couche de sécurité, TLS, successeur de SSL (Secure Sockets Layer), dont le nom survit dans l'expression « certificat SSL ». Cette couche apporte trois garanties :

• la confidentialité : le contenu des requêtes et des réponses est chiffré ; un observateur voit le nom de domaine contacté et le volume échangé, pas les pages consultées ni les données saisies ;
• l'intégrité : une modification en chemin (injection de publicité, de script ou de redirection) est détectée et la connexion échoue ;
• l'authentification : le serveur présente un certificat qui lie son nom de domaine à une clé publique, signé par une autorité de certification à laquelle le navigateur fait confiance. Le visiteur a la garantie de parler au domaine affiché dans la barre d'adresse.

Une URL en HTTPS se reconnaît à son schéma https:// et, dans les navigateurs, à l'icône de cadenas ou à l'absence d'avertissement. Le port par défaut est le 443, contre le 80 pour HTTP. Pour un moteur de recherche, http://www.exemple.fr/page et https://www.exemple.fr/page sont deux URL distinctes, ce qui est au cœur des questions SEO traitées plus bas.

Le certificat TLS : ce qu'il est et comment on l'obtient

Le certificat est un fichier signé qui contient le ou les noms de domaine couverts, la clé publique du serveur, la période de validité et l'identité de l'autorité de certification (AC) émettrice. Le serveur détient la clé privée correspondante et ne la partage jamais. Trois niveaux de validation existent : par domaine (DV, l'AC vérifie seulement le contrôle du nom de domaine), par organisation (OV) et étendue (EV), qui ajoutent une vérification de l'entité juridique. Les navigateurs ne les distinguent plus visuellement, et le niveau de validation n'a aucun effet sur le référencement.

Longtemps payant et installé à la main, le certificat s'obtient depuis 2015 gratuitement et automatiquement auprès de Let's Encrypt, autorité à but non lucratif qui délivre ses certificats par le protocole ACME : un client installé sur le serveur prouve le contrôle du domaine, reçoit le certificat et le renouvelle sans intervention. La plupart des hébergeurs et des CDN intègrent ce mécanisme ou un équivalent, si bien que la question « faut-il passer en HTTPS » ne se pose plus en termes de coût.

La durée de vie des certificats se raccourcit. Le CA/Browser Forum, qui réunit les autorités de certification et les éditeurs de navigateurs, a adopté le 11 avril 2025 le scrutin SC-081v3 : la validité maximale d'un certificat TLS public passe de 398 jours à 47 jours, par paliers entre mars 2026 et mars 2029. Let's Encrypt, qui émet des certificats de 90 jours, a annoncé le 2 décembre 2025 le calendrier de sa propre réduction : 45 jours sur un profil optionnel dès le 13 mai 2026, 64 jours par défaut à partir du 10 février 2027, 45 jours par défaut à partir du 16 février 2028. La conséquence pratique est simple : le renouvellement manuel n'est plus tenable, et l'automatisation du renouvellement devient une condition de disponibilité du site.

HTTPS et Google : du signal de classement au prérequis

Le 7 août 2014, Google a annoncé sur son blog Search Central qu'il commençait à utiliser HTTPS comme signal de classement. Le billet, signé Zineb Ait Bahajji et Gary Illyes, précisait que ce signal avait « très peu de poids », qu'il concernait moins de 1 % des requêtes mondiales et qu'il pesait moins que d'autres signaux comme la qualité du contenu, tout en laissant ouverte la possibilité de le renforcer. Douze ans plus tard, Google n'a jamais annoncé de renforcement, et le sujet a changé de nature : HTTPS n'apporte pas de gain de position, son absence est une anomalie.

Le mouvement est venu des navigateurs. Chrome a marqué « Non sécurisé » toutes les pages HTTP à partir de sa version 68, en juillet 2018. Le 28 octobre 2025, l'équipe sécurité de Chrome a annoncé l'étape suivante : avec Chrome 154, en octobre 2026, le réglage « Toujours utiliser des connexions sécurisées » sera activé par défaut pour tous les utilisateurs. Chrome tentera chaque connexion en HTTPS et, si un site public n'est accessible qu'en HTTP, affichera un avertissement demandant la permission de continuer. Les utilisateurs de la protection renforcée de Safe Browsing y sont passés dès Chrome 147, en avril 2026. Le même billet rappelle que la part des chargements de page en HTTPS dans Chrome, mesurée par le rapport de transparence de Google, est passée de 30 à 45 % en 2015 à 95 à 99 % autour de 2020, et stagne depuis : les avertissements visent le reliquat, et l'avertissement ne se répète pas pour un site visité régulièrement.

Un site en HTTP en 2026 subit donc trois effets : un interstitiel dissuasif pour la majorité des visiteurs, un signal de classement défavorable, si léger soit-il, et l'impossibilité d'utiliser des fonctions réservées aux contextes sécurisés (géolocalisation, service workers, HTTP/2 et HTTP/3, qui ne fonctionnent qu'en HTTPS dans les navigateurs).

Migrer un site de HTTP vers HTTPS

Pour Google, le passage en HTTPS est un déplacement de site avec changement d'URL, au même titre qu'un changement de domaine, et sa documentation sur les déplacements de site le traite comme tel. Les étapes qui comptent pour le référencement :

• Obtenir et installer le certificat pour tous les noms d'hôte du site (www et sans www, sous-domaines), puis vérifier que chaque page répond en HTTPS avant toute redirection.
• Rendre les liens et ressources internes indépendants du protocole : chemins relatifs ou URL en https:// dans le HTML, mais aussi dans les feuilles de style, les scripts, les règles de redirection et les en-têtes de sécurité.
• Rediriger chaque URL HTTP vers son équivalente HTTPS par une redirection 301, URL par URL et sans chaîne : http://exemple.fr doit mener en un saut à https://www.exemple.fr, pas en deux.
• Mettre à jour les balises canonical, les sitemaps, les balises hreflang et les données structurées pour qu'ils citent les URL HTTPS.
• Déclarer les deux versions dans la Search Console (une propriété de domaine couvre tout). L'outil de changement d'adresse n'est pas nécessaire : Google indique qu'il ne sert qu'aux changements de domaine, pas au passage de HTTP à HTTPS.
• Vérifier le robots.txt de la version HTTPS, qui ne doit pas bloquer l'exploration, et l'absence de balise noindex héritée d'un environnement de préproduction.
• Conserver les redirections aussi longtemps que possible, au moins un an selon Google, le temps que les signaux et les liens externes soient réattribués aux nouvelles URL.

Menée ainsi, la migration passe sans perte durable : les positions peuvent osciller quelques semaines pendant que Google réexplore et consolide les signaux, puis se stabilisent. Les pertes observées après un passage en HTTPS tiennent presque toujours à des redirections incomplètes ou en chaîne, à des canonical restées en HTTP ou à une version HTTPS qui répond sur un sous-ensemble des URL.

HSTS et contenu mixte

HSTS (HTTP Strict Transport Security, RFC 6797) est un en-tête de réponse, Strict-Transport-Security, par lequel le site dit au navigateur de ne plus jamais le contacter en HTTP pendant une durée donnée (max-age). Le navigateur réécrit alors lui-même les liens et adresses en HTTPS, ce qui supprime la redirection HTTP vers HTTPS à chaque visite et ferme la porte aux attaques qui interceptent la première requête en clair. Une liste de préchargement, intégrée aux navigateurs, permet d'appliquer la règle dès la première visite. HSTS s'active en fin de migration, quand tout le site répond en HTTPS sans erreur : un certificat expiré sur un domaine en HSTS rend le site inaccessible, sans possibilité pour le visiteur de passer outre. Il est prudent de commencer avec un max-age court et de l'allonger ensuite.

Le contenu mixte désigne une page servie en HTTPS qui charge des ressources en HTTP. Les navigateurs bloquent le contenu mixte actif (scripts, feuilles de style, iframes), qui pourrait prendre le contrôle de la page, et mettent à niveau ou bloquent le contenu mixte passif (images, vidéos). La page s'affiche donc cassée ou incomplète, et le cadenas disparaît. La cause habituelle est une URL absolue en http:// restée dans un gabarit, un contenu ancien ou un script tiers. Un crawl du site après migration, filtré sur les ressources en HTTP, permet de les repérer.

Les erreurs fréquentes

• Laisser vivre les deux versions. Un site accessible en HTTP et en HTTPS sans redirection expose chaque page en double. Les canonical limitent les dégâts, la redirection les supprime.
• Empiler les redirections (HTTP vers HTTPS, puis sans www vers www, puis ancienne URL vers nouvelle) : chaque saut coûte du temps de chargement et dilue le signal. Une seule redirection vers l'URL finale.
• Oublier une partie du site : sous-domaine, ancien blog, fichiers PDF et images, qui continuent de répondre en HTTP ou en erreur de certificat.
• Laisser expirer le certificat. Avec des durées de vie qui tombent à 45 jours, un renouvellement automatisé, surveillé par une alerte, est indispensable. Un certificat expiré produit un interstitiel bloquant et, sur un domaine en HSTS, une page inaccessible.
• Utiliser un certificat qui ne couvre pas tous les noms : un certificat pour www.exemple.fr ne couvre pas exemple.fr ni blog.exemple.fr s'ils n'y figurent pas.
• Attendre un gain de positions. Le signal de 2014 est léger et n'a jamais été renforcé. Le passage en HTTPS se justifie par la sécurité, la confiance des visiteurs, l'accès aux protocoles récents et l'avertissement de Chrome, pas par un classement meilleur.

FAQ

HTTPS améliore-t-il le classement dans Google ?

Très peu. Google a annoncé en août 2014 un signal de classement de faible poids, concernant moins de 1 % des requêtes, et n'a jamais annoncé de renforcement. Le passage en HTTPS ne fait pas gagner de positions ; en revanche, un site en HTTP en 2026 cumule un signal défavorable, un avertissement dans Chrome et l'impossibilité d'utiliser HTTP/2 ou HTTP/3 dans les navigateurs.

Quelle différence entre SSL et TLS ?

TLS est le successeur de SSL, dont les versions sont toutes abandonnées. L'expression « certificat SSL » reste utilisée par habitude, mais les certificats et le chiffrement d'aujourd'hui reposent sur TLS. HTTPS signifie simplement HTTP au-dessus de TLS.

Un certificat gratuit Let's Encrypt suffit-il pour le SEO ?

Oui. Google ne fait aucune différence entre les autorités de certification ni entre les niveaux de validation (DV, OV, EV). Un certificat Let's Encrypt, renouvelé automatiquement, apporte exactement le même HTTPS qu'un certificat payant.

Faut-il utiliser l'outil de changement d'adresse de la Search Console ?

Non. Google indique que cet outil ne sert qu'aux changements de domaine ou de sous-domaine. Pour un passage de HTTP à HTTPS, il suffit de déclarer les deux versions dans la Search Console, de mettre en place les redirections 301 et de soumettre le sitemap en HTTPS.

Que se passe-t-il si le certificat expire ?

Les navigateurs affichent une page d'avertissement bloquante, la plupart des visiteurs font demi-tour, et sur un domaine en HSTS l'avertissement ne peut pas être contourné. Googlebot continue en général d'explorer, mais l'expérience utilisateur s'effondre. Avec des certificats dont la validité descend à 45 jours, le renouvellement automatique et une alerte de surveillance sont indispensables.

HTTPS ralentit-il le site ?

La négociation TLS ajoute un aller-retour au premier contact, mais TLS 1.3 l'a réduit, et HTTPS ouvre l'accès à HTTP/2 et HTTP/3, que les navigateurs n'activent qu'en connexion sécurisée. Au total, un site bien configuré en HTTPS est plus rapide qu'en HTTP. HSTS supprime en outre la redirection HTTP vers HTTPS aux visites suivantes.

En résumé

• HTTPS : HTTP transporté par TLS ; chiffrement, intégrité et authentification du serveur par un certificat signé par une autorité de certification.
• Certificat : gratuit et automatisé via Let's Encrypt et ACME ; validité maximale ramenée de 398 à 47 jours entre mars 2026 et mars 2029 (CA/Browser Forum), Let's Encrypt passant à 45 jours d'ici 2028.
• Google : signal de classement de faible poids annoncé le 7 août 2014, jamais renforcé ; HTTPS est un prérequis, pas un levier de positions.
• Chrome : pages HTTP marquées « Non sécurisé » depuis juillet 2018 ; à partir de Chrome 154 (octobre 2026), avertissement avant tout site public sans HTTPS.
• Migration : un déplacement de site avec changement d'URL ; redirections 301 sans chaîne, canonical et sitemaps en HTTPS, deux versions dans la Search Console, redirections gardées au moins un an.
• HSTS et contenu mixte : HSTS en fin de migration, avec un max-age progressif ; traquer les ressources en HTTP, bloquées ou mises à niveau par les navigateurs.

Abondance c'est aussi des audits SEO, un service de contenus et des formations en e-learning !