Migrer d’hébergeur sans perdre son référencement
Une migration bien menée est invisible pour vos visiteurs comme pour Google. Voici la procédure, et les deux pièges qui font échouer les autres.
Comprendre
Certificat SSL : faut-il payer
Le chiffrement est identique dans les trois cas. Ce que vous payez, c'est la vérification de votre identité, pas la sécurité de la connexion.
Certains liens de cette page sont des liens d'affiliation : si vous souscrivez après avoir cliqué, nous percevons une commission, sans surcoût pour vous. Cela ne change ni notre classement ni nos réserves, qui reposent sur les caractéristiques réelles des offres. En savoir plus
Le certificat SSL est devenu un standard : tous les navigateurs signalent les sites qui n'en ont pas, et la quasi-totalité des hébergeurs en fournissent un gratuitement.
Reste une question qui revient souvent : les certificats payants, vendus entre 50 et 500 € par an, apportent-ils quelque chose ? La réponse est oui, mais probablement pas ce que vous imaginez.
Ce qu’un certificat garantit, et ce qu’il ne garantit pas
Un certificat SSL, ou plus exactement TLS, remplit deux fonctions : il chiffre les échanges entre le navigateur et le serveur, et il atteste que le domaine visité est bien celui qu'il prétend être.
Il ne garantit en revanche rien sur le sérieux du site, la fiabilité de son éditeur ou la sécurité de son code. Un site frauduleux peut parfaitement disposer d'un cadenas valide, et c'est d'ailleurs devenu la norme : le cadenas n'est plus un indicateur de confiance, seulement de confidentialité du transport.
- Les données transitent chiffrées, illisibles pour un intermédiaire sur le réseau
- Le visiteur a l'assurance de parler au serveur du domaine affiché
- Le navigateur n'affiche pas d'avertissement de sécurité
- Les protocoles récents, nécessaires à de bonnes performances, deviennent disponibles
Les trois niveaux de validation
C'est là que se joue la différence entre gratuit et payant, et elle porte sur ce qui est vérifié avant émission, pas sur la qualité du chiffrement.
| Type | Ce qui est vérifié | Prix indicatif | Chiffrement |
|---|---|---|---|
| Validation de domaine | Le contrôle du domaine, de façon automatisée | Gratuit | Identique |
| Validation d’organisation | L’existence juridique de l’entreprise | De 50 à 200 € par an | Identique |
| Validation étendue | Vérification approfondie de l’entité | De 100 à 500 € par an | Identique |
Le point essentiel : le niveau de chiffrement est rigoureusement le même dans les trois cas. Payer plus cher n'améliore en rien la sécurité technique de la connexion, seulement le degré de vérification de votre identité par l'autorité de certification.
Pourquoi le gratuit suffit dans presque tous les cas
Les certificats gratuits à validation de domaine sont émis par des autorités reconnues par tous les navigateurs. Ils sont renouvelés automatiquement, généralement tous les trois mois, sans intervention de votre part.
La quasi-totalité des hébergeurs les intègrent désormais par défaut : le certificat est généré à la création du site et se renouvelle seul. C'est devenu un standard, au point qu'un hébergeur qui facturerait encore le SSL de base mériterait d'être écarté pour cette seule raison.
Un certificat payant ne se justifie que dans des situations précises : une exigence contractuelle explicite d'un client ou d'un partenaire, un besoin de garantie financière incluse dans certaines offres commerciales, ou un certificat couvrant un grand nombre de sous-domaines dans une configuration particulière.
La barre d'adresse verte affichant le nom de l'entreprise, principal argument de vente historique des certificats à validation étendue, a été supprimée par les navigateurs il y a plusieurs années. L'argument commercial qui justifiait ces tarifs n'existe donc plus.
Les erreurs de configuration les plus fréquentes
Installer un certificat ne suffit pas : mal configuré, il laisse subsister des avertissements ou des failles. Quatre problèmes reviennent constamment.
Le contenu mixte
La page est servie en HTTPS mais charge des images, scripts ou feuilles de style en HTTP. Le navigateur signale alors une connexion non totalement sécurisée, voire bloque les ressources. La correction consiste à remplacer toutes les adresses internes en HTTP dans la base et les fichiers de configuration.
L'absence de redirection
Le site reste accessible en HTTP et en HTTPS, ce qui crée deux versions du même contenu et un problème de duplication pour les moteurs de recherche. Une redirection permanente de HTTP vers HTTPS règle le point.
Le domaine avec et sans www
Le certificat doit couvrir les deux formes, et une seule doit être canonique, l'autre redirigeant vers elle. Un certificat émis pour une seule des deux formes provoque une alerte de sécurité sur l'autre.
Le renouvellement qui échoue silencieusement
Le renouvellement automatique peut échouer, par exemple après une modification de la configuration du serveur. Le certificat expire alors sans prévenir, et le site devient inaccessible avec une alerte de sécurité maximale. Une surveillance externe de la date d'expiration évite cette panne, qui est parmi les plus brutales qui soient.
Vérifier que tout est correct
Trois contrôles suffisent à valider une installation, et ils prennent quelques minutes.
- Ouvrir le site en HTTP et vérifier la redirection automatique vers HTTPS.
- Tester les deux formes du domaine, avec et sans www, en vérifiant qu'aucune ne déclenche d'avertissement.
- Contrôler la date d'expiration en cliquant sur le cadenas, et s'assurer que le renouvellement automatique est actif dans le panneau de l'hébergeur.
Des outils d'analyse en ligne gratuits évaluent en complément la qualité de la configuration, notamment les protocoles acceptés et la chaîne de certification. Un site correctement configuré obtient facilement une bonne note, sans intervention particulière, chez un hébergeur sérieux.
Questions fréquentes
Un certificat gratuit est-il moins sécurisé ?
Non. Le niveau de chiffrement est rigoureusement identique. La différence porte uniquement sur le degré de vérification de votre identité effectué avant l'émission du certificat.
Faut-il payer pour un site e-commerce ?
Ce n'est pas nécessaire. Si vous déléguez le paiement à un prestataire spécialisé, un certificat gratuit à validation de domaine convient parfaitement. Un certificat payant ne se justifie que face à une exigence contractuelle explicite.
Pour aller plus loin
Autres guides
Mutualisé ou VPS : comment choisir
La question n'est pas de savoir lequel est le meilleur, mais qui assume l'administration du serveur.
Combien coûte un site web par an
Entre 40 € et plusieurs milliers d'euros par an. Voici ce qui fait varier le montant, et les postes que l'on découvre en cours de route.