HTTPS et SSL · sécurisez votre site en 3 étapes pour éviter les pénalités Google

Un certificat expiré peut plomber vos demandes de devis

Thomas Guillemot gère une menuiserie à Angers avec 4 salariés. Son site, créé en 2019 par une agence locale, fonctionnait correctement jusqu'au printemps 2026. Un matin, son comptable lui signale que le formulaire de contact refuse les soumissions. Diagnostic : le certificat SSL a expiré depuis plusieurs semaines. Chrome affiche « Votre connexion n'est pas privée » sur chaque page. Les demandes de devis en ligne ont chuté de façon notable et ses positions locales ont glissé sur ses requêtes-clés.

Ce scénario est fréquent pour les TPE qui confient leur hébergement à une agence puis perdent le contact. La bonne nouvelle : remettre un site en HTTPS correct prend moins d'une heure si l'on suit la bonne procédure.

HTTPS, SSL, TLS, HSTS : ce que ces sigles signifient vraiment

Quatre termes reviennent souvent ensemble. Voici ce qu'ils désignent concrètement :

• HTTPS (HyperText Transfer Protocol Secure) · version chiffrée du protocole web. Toutes les données échangées entre votre visiteur et votre serveur sont cryptées.
• SSL / TLS · le certificat numérique qui garantit l'identité de votre serveur et active le chiffrement. « SSL » est l'ancien terme, on parle techniquement de TLS depuis 2018, mais les deux désignent la même réalité pour un usage courant.
• Let's Encrypt · autorité de certification gratuite, automatisée, reconnue par tous les navigateurs. La majorité des hébergeurs l'intègrent nativement.
• HSTS (HTTP Strict Transport Security) · en-tête HTTP qui indique aux navigateurs de toujours utiliser HTTPS, même si un visiteur tape votre URL sans le « s ». Sans HSTS, la première requête peut transiter en clair pendant quelques millisecondes, ce qui reste exploitable.

Comprendre ces quatre notions suffit pour dialoguer efficacement avec votre hébergeur ou votre prestataire technique.

Les 3 étapes pour passer en HTTPS proprement

Étape 1 · activer ou renouveler le certificat SSL

Connectez-vous à votre interface d'hébergement (cPanel, Plesk, OVHcloud, Ionos...). La plupart proposent une section « SSL/TLS » ou « Sécurité ». Si votre hébergeur intègre Let's Encrypt, l'activation prend deux minutes et le renouvellement est automatique tous les 90 jours.

Si votre hébergement est géré par une agence, envoyez-lui une demande écrite avec la date d'expiration du certificat actuel (visible dans Chrome via l'icône cadenas, puis « Informations sur le certificat »). Précisez que vous souhaitez un renouvellement automatique pour éviter ce type d'incident.

Étape 2 · forcer la redirection HTTP vers HTTPS

Un certificat actif ne suffit pas si votre serveur continue à servir des pages en HTTP. Il faut ajouter une règle de redirection 301 dans le fichier .htaccess (Apache) ou dans la configuration Nginx :

``apache RewriteEngine On RewriteCond %{HTTPS} off RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301] ``

Testez ensuite en tapant http://votre-domaine.fr dans votre navigateur : vous devez atterrir automatiquement sur https://.

Étape 3 · ajouter l'en-tête HSTS

Une fois le HTTPS stable depuis au moins une semaine, ajoutez cet en-tête dans votre .htaccess ou dans la configuration serveur :

``apache Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains" ``

Cela indique aux navigateurs de mémoriser pendant 12 mois que votre site ne doit être contacté qu'en HTTPS. Résultat : moins de requêtes HTTP résiduelles et meilleure note sur les outils d'audit de sécurité.

Pour les sites WordPress, l'extension « Really Simple SSL » automatise les étapes 2 et 3 en quelques clics, sans toucher aux fichiers serveur.

Ce que Google sanctionne vraiment

Google n'attribue pas de pénalité directe aux sites en HTTP, mais deux signaux s'accumulent :

1. Alerte « Non sécurisé » · Chrome l'affiche dès la première interaction avec un formulaire ou un champ de saisie. Le taux de rebond augmente mécaniquement, ce qui dégrade les signaux comportementaux dans les algorithmes de classement.
2. Signal de positionnement · depuis 2014, Google utilise HTTPS comme facteur de classement. En situation concurrentielle entre deux sites de qualité équivalente, le site sécurisé est favorisé.

Pour un site avec formulaire de devis ou boutique en ligne comme celui de Thomas, l'impact est double : moins de visiteurs qui restent et moins de conversions abouties.

La checklist de vérification après migration

Une fois les 3 étapes effectuées, vérifiez chaque point avant de considérer la migration terminée :

• [ ] Le certificat SSL est actif et valide (expiration dans plus de 60 jours)
• [ ] Toutes les URLs internes commencent par https:// (pas de contenu mixte)
• [ ] Les redirections 301 de http:// vers https:// sont actives sur toutes les pages
• [ ] L'en-tête HSTS est présent (vérifiable via securityheaders.com)
• [ ] La version https:// est soumise dans Google Search Console
• [ ] Le fichier sitemap.xml ne contient plus d'URLs en http://
• [ ] Les liens entrants majeurs (Google My Business, LinkedIn, annuaires) pointent vers https://
• [ ] Le renouvellement automatique du certificat est configuré chez l'hébergeur

Pour identifier du contenu mixte (images, scripts chargés en HTTP sur une page HTTPS), l'outil gratuit « Why No Padlock » ou la console développeur du navigateur permettent de localiser chaque ressource concernée.

Pour aller plus loin dans l'audit de votre présence en ligne, demandez un cadrage gratuit avec un expert MDA : nous analysons en 30 minutes les points bloquants de votre site et vous remettons une liste d'actions prioritaires.

Financer la mise à niveau numérique de votre entreprise

La sécurisation d'un site s'inscrit souvent dans un projet numérique plus large. Plusieurs dispositifs permettent une prise en charge partielle ou totale, sous réserve d'éligibilité :

France Num · ce programme de Bpifrance cofinance les audits de cybersécurité et les projets de transformation numérique pour les TPE et PME. Renseignez-vous auprès d'un conseiller numérique de proximité ou sur le site officiel France Num.

Votre OPCO · si vous envisagez d'accompagner vos collaborateurs sur des compétences numériques (administration web, sécurité informatique, webmarketing), votre OPCO peut prendre en charge tout ou partie des coûts selon l'accord de branche applicable. Les 11 OPCO couvrent des dispositifs variables : renseignez-vous directement auprès du vôtre.

Crédit d'impôt formation dirigeant · si vous participez vous-même à un parcours d'accompagnement professionnel portant sur la cybersécurité ou les outils numériques, ce crédit d'impôt s'applique. Il valorise chaque heure passée à un taux horaire indexé sur le SMIC, avec un taux majoré pour les entreprises de moins de 10 salariés.

Aides régionales · plusieurs régions proposent des chèques numériques ou des subventions directes pour les projets de sécurisation et de refonte web. Consultez le CARIF-OREF de votre région pour la liste actualisée des dispositifs en cours.

France Travail, AIF · si un collaborateur en reconversion prend en charge la supervision technique du site, l'aide individuelle à la formation (AIF) peut couvrir un parcours de montée en compétences ciblé, selon votre situation et celle du bénéficiaire.

Le cumul de plusieurs dispositifs est possible selon les critères d'éligibilité de chacun. Un expert MDA peut vous orienter lors d'un cadrage gratuit.

Ce que Thomas a fait en 48 heures

Revenons au cas de Thomas Guillemot. En deux jours, il a :

1. Contacté son hébergeur pour activer le renouvellement automatique Let's Encrypt.
2. Ajouté les règles de redirection dans son .htaccess avec l'aide de son prestataire.
3. Vérifié l'en-tête HSTS via securityheaders.com : note passée de F à A.

Son formulaire de devis fonctionne à nouveau. Ses positions locales ont commencé à se stabiliser deux semaines après la correction. Le coût total : une heure de prestation technique.

La démarche est rarement complexe pour un technicien. L'enjeu n'est pas la difficulté : c'est de savoir exactement quoi vérifier et dans quel ordre.

Consultez le catalogue de programmes de Groupe MDA pour découvrir nos parcours sur la gestion de site web, le SEO local et la sécurité informatique. Ou demandez un cadrage gratuit pour évaluer la situation de votre site en 30 minutes avec un de nos experts.