Un certificat SSL, désigné plus exactement aujourd'hui par le terme TLS, est un fichier installé sur le serveur qui permet de chiffrer les échanges entre le navigateur du visiteur et le site. Son rôle est double : rendre illisible le contenu transmis pour qui intercepterait la connexion, et attester que le serveur répond bien pour le nom de domaine demandé. Sans certificat valide, les navigateurs affichent un avertissement de sécurité qui interrompt la navigation, et les formulaires de connexion ou de paiement sont signalés comme dangereux.
Les types de certificats
Le certificat à validation de domaine ne vérifie que le contrôle du nom de domaine, par un enregistrement DNS ou un fichier déposé à la racine du site. Sa délivrance est automatique et prend quelques minutes. Le certificat à validation d'organisation ajoute une vérification de l'existence juridique de l'entité demandeuse, et le certificat à validation étendue impose un contrôle documentaire plus complet. Pour un site d'information ou une boutique ordinaire, la validation de domaine suffit : le niveau de chiffrement est identique dans les trois cas, seule la vérification d'identité diffère.
Certificats gratuits et certificats payants
Les autorités de certification gratuites ont rendu le chiffrement accessible à tous les sites, y compris les plus modestes. Leurs certificats ont une durée de validité courte, de l'ordre de trois mois, compensée par un renouvellement automatique géré par le serveur. La plupart des hébergeurs mutualisés les proposent désormais en un clic depuis le panneau d'administration. Les certificats payants conservent un intérêt pour les cas particuliers : couverture de plusieurs domaines différents dans un même fichier, garantie financière contractuelle, ou certificat joker couvrant un nombre illimité de sous-domaines.
La redirection vers HTTPS
Installer un certificat ne suffit pas : tant que le site reste accessible en HTTP, les deux versions coexistent et les moteurs de recherche peuvent indexer l'une ou l'autre. Une redirection permanente, configurée dans le fichier de configuration du serveur, force le passage en HTTPS pour toutes les adresses. L'en-tête HSTS va plus loin en demandant au navigateur de ne plus jamais tenter de connexion non chiffrée pendant une durée donnée, ce qui supprime la fenêtre de vulnérabilité de la première requête. Cette directive est difficile à annuler avant son expiration et se met en place progressivement, avec une durée courte au début.
Le contenu mixte
Le contenu mixte désigne une page servie en HTTPS qui appelle des images, des feuilles de style ou des scripts en HTTP. Les navigateurs bloquent les scripts dans cette situation et signalent la page comme partiellement sécurisée. La correction consiste à reprendre les adresses absolues restantes dans le code et dans la base de données, les anciens contenus publiés avant la migration étant la source habituelle du problème. Un outil d'inspection du navigateur liste ces appels dans sa console et permet de les traiter un par un.
Le renouvellement
Un certificat expiré produit une erreur bloquante sur l'ensemble du site, souvent découverte par un visiteur avant l'exploitant. L'automatisation du renouvellement évite cette panne, à condition de vérifier que la tâche planifiée s'exécute réellement et que la validation reste possible, par exemple après un changement de serveur de noms. Une surveillance externe qui alerte quelques semaines avant l'échéance complète utilement ce dispositif, en particulier pour les certificats posés manuellement sur un serveur dédié.