Le certificat de sécurité permet de sécuriser la navigation de l’internaute sur un site internet, ainsi que ses échanges.
Qu’est-ce qu’un certificat de sécurité ?
Un certificat de sécurité SSL permet de chiffrer les données échangées sur un site internet. En d’autres termes, il certifie que les données transmises par le biais d’un formulaire, par exemple, ne soient pas compromises.
Il existe des certificats gratuits et des certificats payants.
Le certificat SSL gratuit, généralement Let’s Encrypt, est fourni par votre hébergeur. Il suffit de l’activer puis de l’installer. Si l’hébergeur n’a pas mis en place le renouvellement automatique, il faut le renouveler tous les trois mois.
Les certificats SSL payants sont nombreux. Ils correspondent à des niveaux de confiance différents, basés sur les vérifications effectuées pour obtenir celui-ci. Ces certificats sont généralement payés à l’année.
Un certificat payant nécessitera peut-être un enregistrement à la Chambre de Commerce, par exemple, ainsi qu’une validation d’identité par téléphone.
Un certificat SSL, pourquoi faire ?
Le premier rôle d’un certificat est de sécuriser les données de vos visiteurs. Ces données peuvent être de plusieurs types : numéro de carte bancaire, identifiants au site internet, formulaire de contact envoyé …
Un site internet e-commerce proposant le paiement sur son site (et non sur une plateforme tierce, comme Paypal) devrait impérativement posséder un certificat SSL payant. D’une part, cela lui permet d’inspirer confiance et cela favorise l’achat. D’autre part, les enjeux sont réels et ne pas faire le nécessaire peut constituer une faute professionnelle.
Un site internet vitrine, ou proposant le paiement sur des outils externes au site, devrait en toute logique se reporter vers un certificat gratuit.
Car le deuxième rôle d’un certificat est de faire plaisir à Google, afin de ne pas perdre en visibilité. Simple demande de Google en 2014, le certificat SSL est devenu en 2017 un élément important pour le référencement.
Google et le SSL
Depuis Google Chrome 62 (version sortie en octobre 2017), la mention « Non sécurisé » apparaît sur un site sans certificat, lorsqu’un internaute renseigne un champ de formulaire. Cela affecte la plupart des sites internet, ceux-ci possédant généralement au moins un formulaire de contact.
Et ce n’est que le début des hostilités, Google souhaitant sécuriser tout Internet courant 2018. Bientôt cette mention « Non Sécurisé » pourrait apparaître par défaut, et le trafic d’un site internet sans certificat pourrait lourdement chuter.
Outil de communication, le site internet transmet de l’information, mais surtout une image, des valeurs, une identité. Dire à vos internautes qu’ils peuvent visiter votre site internet en toute sécurité, ce n’est pas une perte de temps. Et ce n’est pas un luxe, surtout quand le certificat, lui, est gratuit !
Comment mettre en place un certificat gratuit ?
La mise en place d’un certificat de sécurité sur un site internet peut se décrire en trois étapes. Il faut activer le certificat, le mettre en place, et mettre à jour les outils tiers.
Activer le certificat
La plupart des hébergeurs sérieux proposent le certificat gratuit Let’s Encrypt. En se connectant au manager / au cpanel / à l’interface de gestion de l’hébergeur, vous avez la possibilité d’activer le SSL pour un nom de domaine en particulier. Bien souvent, cela se fait en un clic.
Installer le certificat
Plus technique, l’installation d’un certificat sur un site internet dynamique consiste d’abord à remplacer tous les liens du site commençant par HTTP en des liens commençant par HTTPS.
Ce travail est généralement effectué en intervenant directement sur la base de données. Cela inclus les pages, les médias (images, documents …), mais aussi les différents scripts présents dans le code de votre page, qui se chargent automatiquement avec la page (les feuilles CSS, Javascript …), et bien sûr, l’interface d’administration du site.
Tant que tous les liens ne sont pas remplacés, le cadenas proposé est rouge ou gris, et la mention Sécurisé n’apparaît pas.
Ensuite, l’installation du certificat consiste à effectuer des redirections.
En effet, tous vos visiteurs doivent utiliser la même version de votre site. Vous ne devriez pas avoir un site avec HTTP et un autre avec HTTPS, tout comme vous ne devriez pas avoir un site avec www et un autre sans www.
Cette modification s’effectue au sein du fichier .htaccess, à la racine de votre site internet.
Mettre à jour les outils tiers
Une fois que votre certificat est mis en place, il est possible d’effectuer un test en ligne, afin de vérifier que le certificat est bien installé. Par exemple, vous pouvez vous rendre sur SSL Labs.
Ensuite, vous pouvez actualiser le reste : outils utilisés sur le site (Google Analytics, Google Search Console …), fichier robots.txt, liens sur les réseaux sociaux …
Besoin d’aide ?
Si vous n’avez pas les compétences techniques pour activer et installer votre certificat Let’s Encrypt sur votre site internet WordPress, je peux m’en charger pour vous. Je vous invite à me contacter à ce sujet.
