Un certificat SSL chiffre les échanges entre votre site et ses visiteurs, et prouve que le site appartient bien au domaine affiché. Sans lui, les navigateurs marquent votre site comme « non sécurisé », les formulaires inquiètent vos clients et votre référencement en pâtit. Bonne nouvelle : pour la grande majorité des sites, un certificat gratuit Let's Encrypt fait exactement le même travail qu'un certificat payant, et il se renouvelle tout seul.
Ce que fait vraiment un certificat SSL
Quand un visiteur ouvre votre site en HTTPS, deux choses se passent :
- le chiffrement : tout ce qui circule entre son navigateur et votre serveur, mots de passe, formulaires, numéros de commande, devient illisible pour qui l'intercepterait, sur un Wi-Fi public par exemple ;
- l'authentification : le certificat, signé par une autorité reconnue, garantit au navigateur qu'il parle bien au serveur de votre domaine, et pas à un imposteur.
Le terme exact est aujourd'hui TLS, SSL étant l'ancien nom du protocole. Tout le monde continue pourtant de dire « certificat SSL ».
Pourquoi c'est devenu indispensable
- Les navigateurs l'exigent : Chrome, Firefox, Safari et Edge affichent un avertissement sur les pages en HTTP simple, surtout dès qu'un formulaire est présent.
- Le référencement : Google utilise HTTPS comme signal de classement depuis des années.
- La confiance : un visiteur qui voit « non sécurisé » à côté de votre nom ne remplit pas votre formulaire de devis.
- Les fonctions modernes : de nombreuses fonctions des navigateurs, comme la géolocalisation ou les notifications, ne marchent qu'en HTTPS.
Gratuit ou payant : quelle différence ?
Les certificats se distinguent par le niveau de vérification de leur propriétaire :
- DV (validation de domaine) : l'autorité vérifie seulement que vous contrôlez le domaine. C'est ce que délivre Let's Encrypt, gratuitement.
- OV (validation d'organisation) : l'autorité vérifie aussi l'existence de votre entreprise.
- EV (validation étendue) : vérification plus poussée encore.
Le chiffrement, lui, est le même dans les trois cas. Et depuis que les navigateurs n'affichent plus le nom de l'entreprise dans la barre d'adresse, la différence visible pour vos visiteurs a pratiquement disparu. Un certificat OV ou EV reste pertinent quand un client, une banque ou un appel d'offres l'exige explicitement. Pour un site vitrine, une boutique ou une application, un certificat DV suffit.
Let's Encrypt en deux mots
Let's Encrypt est une autorité de certification gratuite, reconnue par tous les navigateurs. Ses certificats ont une durée de vie courte, 90 jours, ce qui serait contraignant s'il fallait les renouveler à la main. En pratique, un outil sur le serveur s'en charge automatiquement, bien avant l'échéance.
Comment obtenir le vôtre
Avec Passroyal Panel
Si votre serveur a été commandé avec Passroyal Panel, le certificat fait partie de la création du site :
- faites pointer votre domaine vers l'adresse IP publique du serveur, chez votre registraire ;
- créez le site dans le panneau ;
- le panneau vérifie que le domaine arrive bien sur la machine, puis obtient le certificat Let's Encrypt et le renouvelle seul.
La vérification préalable évite l'erreur la plus courante : demander un certificat alors que le DNS pointe encore ailleurs.
Sur un serveur Linux sans panneau
Sur un serveur Ubuntu avec Nginx ou Apache, l'outil le plus répandu est Certbot. Il obtient le certificat, modifie la configuration du serveur web et installe le renouvellement automatique. Deux conditions : le domaine doit pointer vers le serveur, et les ports 80 et 443 doivent être ouverts dans le pare-feu.
Après l'installation : trois vérifications
- Redirigez HTTP vers HTTPS : toutes les adresses en http:// doivent renvoyer vers leur version https://, sinon vous gardez deux versions du site.
- Chassez le contenu mixte : une image ou un script encore chargé en http:// sur une page https:// fait disparaître le cadenas. Pour WordPress, vérifiez que l'adresse du site dans les réglages commence bien par https://.
- Surveillez le renouvellement : un renouvellement qui échoue en silence finit par une page d'erreur 90 jours plus tard. Un changement de DNS ou un pare-feu trop strict sur le port 80 en sont les causes habituelles.
Questions fréquentes
Un certificat gratuit est-il moins sûr ?
Non. Le chiffrement est identique. Seul le niveau de vérification de l'identité du propriétaire change.
Faut-il un certificat par sous-domaine ?
Chaque nom couvert doit figurer dans le certificat : exemple.ma et www.exemple.ma sont deux noms. Les outils comme Certbot et les panneaux d'hébergement les incluent ensemble.
Mon site n'a pas de formulaire, ai-je besoin de HTTPS ?
Oui. Les navigateurs et Google le traitent comme un standard, et HTTPS empêche aussi un intermédiaire de modifier vos pages en chemin.
Et ensuite ?
Le certificat est une brique de sécurité parmi d'autres. Pour aller plus loin, consultez notre article sur les sauvegardes d'un serveur, et découvrez Passroyal Panel, qui gère vos certificats sans que vous ayez à y penser.