SSL : comprendre les connexions sécurisées

Auteur : Rédaction Domeny.ForSale Publié le 22.09.2026

En bref : SSL est le nom couramment donné à la technologie qui sécurise la connexion entre le navigateur et le serveur d’un site. Les sites actuels utilisent son successeur, TLS, même si l’on parle encore souvent de « certificat SSL ». Cette connexion protège les données transmises contre la lecture et la modification en cours de route, mais ne garantit pas l’honnêteté du propriétaire du site.

SSL, TLS et HTTPS : quelles différences ?

SSL, pour Secure Sockets Layer, est un ancien protocole de sécurisation des communications réseau. Son successeur est TLS, pour Transport Layer Security. Les anciennes versions de SSL sont obsolètes et ne doivent plus être utilisées ; le nom reste toutefois présent dans les offres d’hébergement et de certificats.

HTTPS correspond à HTTP, le protocole de communication avec un site web, sécurisé par TLS. Une adresse commençant par https:// indique donc une tentative de connexion au site avec cette protection. Le navigateur vérifie la validité de la connexion et peut afficher un avertissement en cas de problème.

Un certificat est un document numérique qui associe un nom de domaine à une clé publique utilisée pour authentifier le serveur. Lors d’une visite ordinaire, le navigateur vérifie notamment que le certificat correspond à l’adresse, qu’il est en cours de validité et qu’il provient d’une chaîne de certification de confiance. Le certificat ne chiffre pas à lui seul l’ensemble des échanges : il fait partie du mécanisme qui permet d’établir une connexion sécurisée.

Que protège une connexion chiffrée, et quelles sont ses limites ?

TLS assure la confidentialité des données transmises ainsi que leur intégrité, c’est-à-dire leur protection contre toute modification non détectée pendant la transmission. Il aide aussi à confirmer que le navigateur communique avec un serveur autorisé à desservir le domaine indiqué.

Par exemple, lorsqu’un client saisit son mot de passe ou son adresse de livraison dans une boutique qui utilise correctement HTTPS, une personne qui surveille le trafic réseau ne devrait pas pouvoir lire ces informations. Sans chiffrement, le contenu du formulaire pourrait être intercepté. HTTPS protège également le contenu de la page transmise contre une substitution en cours de route.

Une connexion chiffrée ne signifie toutefois pas que le site lui-même est sûr ou honnête. Un escroc peut lui aussi obtenir un certificat pour son domaine. Avant de payer, vérifiez donc l’adresse exacte de la boutique et les coordonnées du vendeur, et pas seulement l’indicateur de connexion du navigateur.

TLS ne protège pas non plus les données une fois enregistrées sur le serveur, ne supprime pas les virus et ne corrige pas les erreurs de l’application. Il ne garantit pas un anonymat complet : une personne qui observe le réseau peut encore voir certaines informations sur la connexion, comme l’adresse IP du serveur. Les mises à jour logicielles, le contrôle des accès et les sauvegardes restent des tâches distinctes.

Quel certificat choisir pour son site ?

Pour un blog, un site d’entreprise ou une boutique classique, un certificat DV suffit généralement : il repose sur la vérification du contrôle du domaine. L’autorité de certification vérifie que le demandeur peut prouver ce contrôle, par exemple au moyen d’un enregistrement approprié dans le DNS, le système qui dirige le trafic du domaine vers les services correspondants.

Les certificats OV et EV incluent aussi une vérification de l’organisation, celle du certificat EV étant plus approfondie selon les règles de l’autorité de certification. Cela ne signifie pas automatiquement que le chiffrement est plus robuste qu’avec un certificat DV. Le choix d’un tel certificat peut répondre à des exigences organisationnelles ou contractuelles, plutôt qu’à un besoin de mieux protéger la transmission elle-même.

Lors du choix, vérifiez avant tout les noms couverts par le certificat :

example.com et www.example.com sont deux noms différents ; le certificat doit couvrir les deux si tous deux doivent fonctionner en HTTPS.
Un certificat wildcard, ou générique, pour *.example.com couvre les sous-domaines d’un seul niveau, comme boutique.example.com, mais pas le domaine example.com lui-même ni l’adresse panneau.boutique.example.com.
Un seul certificat peut couvrir plusieurs noms précis, à condition qu’ils y figurent.

Un certificat gratuit délivré par une autorité de confiance peut offrir le même niveau de chiffrement qu’un certificat payant avec une configuration comparable. Le prix peut correspondre à une vérification supplémentaire, à de l’assistance ou à un service de gestion. Consultez la documentation de l’hébergeur ou de l’autorité de certification pour confirmer la disponibilité actuelle, les conditions et les modalités de renouvellement.

Comment activer HTTPS sur son site ?

Sur un hébergement mutualisé, le certificat peut souvent être activé depuis le panneau d’administration. Sur votre propre serveur, il faut configurer le serveur web et le mécanisme de renouvellement. Si vous utilisez un CDN, un réseau intermédiaire qui distribue les contenus, sécurisez aussi la liaison entre le CDN et le serveur d’origine.

Voici les étapes pratiques de la mise en place :

Recensez tous les noms de domaine utilisés, y compris la variante avec www et les sous-domaines nécessaires.
Faites émettre le certificat et installez-le en suivant les instructions de votre fournisseur.
Vérifiez le fonctionnement du site en HTTPS, notamment la connexion aux comptes, les formulaires et les paiements.
Passez en HTTPS l’adresse du site dans le système de gestion de contenu, ainsi que les références aux images, aux scripts et aux feuilles de style.
Configurez une redirection permanente de HTTP vers HTTPS.
Activez le renouvellement automatique et les notifications en cas de problème.

Les ressources encore chargées en HTTP créent ce que l’on appelle du contenu mixte. Le navigateur peut les bloquer ou tenter de les charger en HTTPS, ce qui peut empêcher certaines parties du site de fonctionner. L’installation du certificat ne suffit donc pas à terminer la mise en place.

Comment vérifier le certificat et réagir aux erreurs ?

Les informations sur le site, accessibles près de la barre d’adresse, permettent de consulter l’état de la connexion et les détails du certificat. L’apparence de ce menu dépend du navigateur : tous n’affichent pas le cadenas traditionnel. Vérifiez le nom de domaine et la période de validité du document.

Un avertissement peut signaler un certificat expiré, un certificat qui ne correspond pas à l’adresse ou une mauvaise configuration du serveur. Une date incorrecte sur l’appareil peut aussi en être la cause. En tant que visiteur, ne contournez pas l’avertissement pour saisir un mot de passe ou des données de paiement ; en tant qu’administrateur, corrigez la cause plutôt que de demander aux utilisateurs d’accepter l’erreur.

Si vous gérez le site, commencez par vérifier dans le panneau de l’hébergeur que le certificat couvre toutes les adresses utilisées et se renouvelle automatiquement. Effectuez ensuite un envoi de formulaire à titre de test en HTTPS : c’est un moyen simple de vérifier que la protection fonctionne aussi là où l’utilisateur transmet des données.

À lire aussi : Qu’est-ce qu’un CDN ?