En 2014, Google annonçait officiellement que HTTPS devenait un facteur de classement. Douze ans plus tard, le protocole s’est imposé comme un standard incontournable : plus de 95 % des sites du top 1 million Alexa sont en HTTPS, et Chrome affiche un avertissement « Non sécurisé » à toute page qui ne l’est pas.
Pourtant, chaque année, des sites arrivent en audit avec un certificat SSL expiré, une configuration mixed content ou une migration HTTP vers HTTPS mal exécutée. Ces erreurs sont visibles pour les visiteurs, pénalisantes pour le SEO, et faciles à corriger quand on connaît les bonnes pratiques. Ce guide explique pourquoi HTTPS compte pour le référencement, comment obtenir un certificat SSL, et comment migrer proprement sans perdre son trafic organique.
HTTPS : qu’est-ce que c’est et pourquoi c’est indispensable
HTTPS (HyperText Transfer Protocol Secure) est la version chiffrée du protocole HTTP. Concrètement, quand un visiteur se connecte à un site en HTTPS, toutes les données échangées entre son navigateur et le serveur sont chiffrées par un certificat SSL/TLS. Impossible pour un intermédiaire (opérateur télécom, FAI, wifi public) de lire ce qui transite.
Trois raisons rendent HTTPS non négociable en 2026.
La sécurité des utilisateurs. Sur un site sans HTTPS, un formulaire de contact, un mot de passe ou un numéro de carte bancaire circule en clair. N’importe qui sur le même réseau peut l’intercepter. Sur un wifi public d’aéroport ou de café, le risque est réel.
La confiance visible. Chrome, Firefox, Safari et Edge marquent tous les sites HTTP comme « Non sécurisé » dans la barre d’adresse. Ce message dissuade les visiteurs de continuer, dégrade le taux de conversion et abîme l’image de marque. À l’inverse, le cadenas HTTPS rassure.
Le SEO. Google utilise HTTPS comme signal de classement depuis 2014. L’impact direct est modeste (Google le décrit lui-même comme « un signal léger »), mais l’impact indirect est massif : sites plus lents à charger, taux de rebond plus élevé, moins de conversions, moins de backlinks naturels.
Sans HTTPS aujourd’hui, un site part avec un handicap qu’aucune optimisation on-page ne compense.
Comment fonctionne un certificat SSL/TLS
Un certificat SSL/TLS est un fichier numérique délivré par une autorité de certification (Let’s Encrypt, DigiCert, Sectigo, GlobalSign) qui prouve l’identité d’un site et permet l’échange chiffré. Trois éléments principaux composent un certificat :
Le nom de domaine couvert par le certificat. Peut couvrir un seul domaine (www.votresite.com), un domaine avec ses sous-domaines (wildcard : *.votresite.com) ou plusieurs domaines distincts (multi-domaine).
La clé publique utilisée pour le chiffrement asymétrique. Elle est complétée côté serveur par une clé privée qui ne quitte jamais le serveur.
La signature de l’autorité de certification, qui garantit que le certificat est légitime. Les navigateurs vérifient cette signature contre une liste d’autorités de confiance intégrée.
Il existe trois niveaux de validation :
Domain Validation (DV). L’autorité vérifie uniquement que vous contrôlez le domaine (via DNS ou email). Rapide, gratuit ou peu cher. Suffit pour la majorité des sites vitrines et blogs. Let’s Encrypt fournit du DV gratuit et automatisé.
Organization Validation (OV). L’autorité vérifie en plus l’existence de l’organisation propriétaire (via des documents officiels). Le certificat affiche le nom de l’organisation. Utile pour des sites institutionnels ou e-commerce moyens.
Extended Validation (EV). Vérification poussée de l’organisation. Historiquement, ces certificats déclenchaient une barre verte dans le navigateur, mais Chrome et Firefox ont supprimé cette signalétique en 2019. L’intérêt est aujourd’hui limité au grand e-commerce et à la banque en ligne.
Pour un site standard, un certificat Let’s Encrypt gratuit fait parfaitement le travail. Aucun besoin de payer un DigiCert à trois chiffres.
Obtenir un certificat SSL
Trois voies principales selon votre hébergement.
Via l’hébergeur
C’est la voie la plus simple. La majorité des hébergeurs (o2switch, OVH, IONOS, Infomaniak, Kinsta, WP Engine) proposent Let’s Encrypt en installation automatique et renouvellement automatique. Rendez-vous dans votre panel d’hébergement, section SSL ou HTTPS, activez le certificat et laissez faire. Prévoir 10 à 30 minutes de propagation.
Vérifiez que le certificat couvre bien votre domaine principal ET ses variantes (avec/sans www, sous-domaines). Un certificat qui couvre votresite.com mais pas www.votresite.com provoque un avertissement navigateur.
Via Cloudflare
Si votre site passe par Cloudflare (CDN + protection), Cloudflare fournit gratuitement un certificat SSL entre le visiteur et Cloudflare. Vous devez en plus configurer votre serveur origine pour accepter HTTPS, sinon vous vous exposez à des soucis.
Deux modes principaux dans Cloudflare :
– Flexible : HTTPS entre visiteur et Cloudflare, HTTP entre Cloudflare et votre serveur. À éviter, source de failles.
– Full (strict) : HTTPS bout en bout. À utiliser systématiquement.
En manuel via certbot
Pour un serveur dédié ou un VPS, l’outil certbot (client officiel Let’s Encrypt) installe et renouvelle automatiquement les certificats. Une simple commande certbot --apache ou certbot --nginx suffit. Le renouvellement se fait tous les 90 jours via une tâche cron automatique.
Migrer un site HTTP vers HTTPS
C’est l’étape la plus délicate. Une migration mal exécutée peut faire disparaître 30 à 50 % du trafic organique pendant plusieurs semaines. La méthode en 6 étapes limite les risques.
Étape 1 : Installer et tester le certificat. Le certificat doit être valide, couvrir toutes les variantes du domaine, et le site doit être accessible en HTTPS avant de basculer.
Étape 2 : Rediriger HTTP vers HTTPS. Configurer une redirection 301 permanente de toutes les URLs HTTP vers leur équivalent HTTPS. Sur Apache, cela se fait via .htaccess ; sur Nginx, dans la configuration du serveur. Sur WordPress, un plugin comme « Really Simple SSL » gère cela automatiquement.
Étape 3 : Corriger le mixed content. Le mixed content, c’est une page HTTPS qui charge des ressources (images, CSS, JS, iframes) en HTTP. Le navigateur bloque ces ressources et affiche un cadenas cassé. Il faut passer toutes les URLs internes en HTTPS ou en URL relative. Un outil comme Screaming Frog ou « SSL Insecure Content Fixer » (plugin WP) détecte les mixed content restants.
Étape 4 : Mettre à jour les liens internes. Sur WordPress, un plugin comme « Better Search Replace » permet de remplacer en base de données toutes les occurrences de http://votresite.com/ par https://votresite.com/. Attention à faire un backup avant.
Étape 5 : Mettre à jour Search Console. Ajouter la propriété HTTPS dans Search Console (elle est traitée comme un nouveau site) et re-soumettre le sitemap. La propriété HTTP reste utile quelques mois pour surveiller la transition. Le guide Google Search Console détaille cette configuration.
Étape 6 : Mettre à jour les liens externes prioritaires. Réseaux sociaux, Google Business Profile, annuaires partenaires : demander la mise à jour des liens principaux évite les redirections en chaîne et préserve le « link equity ».
Une migration proprement exécutée voit son trafic organique récupérer en 2 à 4 semaines. Une migration bâclée peut mettre 3 à 6 mois à s’en remettre, ou ne jamais retrouver son niveau.
Erreurs fréquentes autour du HTTPS
Certaines erreurs reviennent régulièrement souvent dans les audits.
Certificat expiré. Un certificat SSL a une durée de vie de 90 jours (Let’s Encrypt) à 1 an (payants). L’expiration provoque un avertissement navigateur immédiat qui fait fuir 100 % des visiteurs. Vérifier que le renouvellement automatique fonctionne, et surveiller via des outils gratuits comme SSL Labs.
Certificat qui ne couvre pas toutes les variantes. Un certificat pour votresite.com mais pas www.votresite.com provoque une erreur sur l’une des deux variantes. Utiliser un certificat SAN qui couvre les deux, ou une redirection propre entre les deux.
Mixed content non corrigé. Le cadenas cassé reste dans la barre d’adresse tant que le mixed content subsiste. Utiliser l’outil de développement du navigateur (F12 > Console) pour identifier les ressources non sécurisées.
Absence de HSTS. Le header Strict-Transport-Security (HSTS) dit au navigateur que le site doit toujours être appelé en HTTPS. Sans HSTS, un visiteur qui tape votresite.com (sans https://) fait une requête HTTP qui redirige en HTTPS. Avec HSTS, le navigateur passe directement en HTTPS. Sécurité renforcée et gain de performance.
Anciennes URLs HTTP dans le sitemap. Après migration, les URLs du sitemap doivent toutes être en HTTPS. Un sitemap avec des URLs HTTP crée des redirections systématiques que Google traite avec méfiance. La cohérence sitemap/robots.txt/canoniques est fondamentale pour un site en bonne santé, comme détaillé dans mon article sur les erreurs SEO à éviter.
Vérifier son niveau de sécurité HTTPS
Deux outils gratuits couvrent 90 % des cas.
SSL Labs (ssllabs.com/ssltest) analyse en profondeur votre configuration SSL/TLS. Il note votre site de A+ à F selon les protocoles supportés, la robustesse du chiffrement, la configuration HSTS et les vulnérabilités connues. Viser un A minimum.
Le rapport Chrome DevTools > Security montre en direct si votre page est bien sécurisée, si des ressources sont bloquées, et quels certificats sont utilisés. Ouvrir DevTools (F12), onglet Security, recharger la page.
Un score A sur SSL Labs et un cadenas sans avertissement dans Chrome sont les deux signaux de base à viser.
Un cas mémorable
Un site marchand de la région Rouennaise a vu son trafic organique baisser de 40 % sur trois mois après sa migration HTTPS. Le problème : la migration avait été faite par un stagiaire qui avait bien créé les redirections 301, mais oublié de mettre à jour tous les liens internes en base de données. Résultat : chaque page contenait des dizaines de liens vers l’ancienne version HTTP, redirigés à chaque clic. Un « Better Search Replace » en base de données a réglé la moitié du problème en 15 minutes. Le reste a demandé une intervention plus fine sur les shortcodes et les widgets.
FAQ HTTPS et SEO
HTTPS améliore-t-il vraiment le positionnement Google ?
Directement, l’impact est faible. Google confirme que HTTPS est un signal de classement, mais l’a positionné comme « signal léger ». L’impact indirect est bien plus fort : les sites HTTP subissent des taux de rebond élevés à cause de l’avertissement navigateur, ce qui pénalise leur engagement et donc leur positionnement.
Combien coûte un certificat SSL ?
Zéro euro dans 90 % des cas. Let’s Encrypt fournit gratuitement des certificats DV, renouvelés automatiquement tous les 90 jours. La plupart des hébergeurs mutualisés (o2switch, OVH, Infomaniak) l’intègrent en un clic. Les certificats payants (DigiCert, Sectigo) restent utiles pour les EV/OV et certains cas B2B spécifiques.
Que faire si mon site perd du trafic après migration HTTPS ?
Vérifier dans l’ordre : les redirections 301 HTTP → HTTPS fonctionnent-elles pour toutes les URLs ? Le sitemap dans Search Console contient-il bien les URLs HTTPS ? Les canoniques sont-ils tous en HTTPS ? Y a-t-il du mixed content résiduel ? Dans 80 % des cas, un point de cette liste manque.
Ressources pour aller plus loin
- Annonce officielle de Google en 2014 : HTTPS comme facteur de classement sur le blog Google Search Central
- Test SSL Labs pour évaluer votre configuration : ssllabs.com/ssltest
- Let’s Encrypt (autorité de certification gratuite) : letsencrypt.org
- Statistiques HTTP Archive Web Almanac sur l’adoption HTTPS : almanac.httparchive.org
Discutons de votre projet
Chaque site a ses spécificités et ses priorités. Si vous voulez un regard extérieur sur votre situation actuelle et un plan d’action calibré à vos ressources, réservez un premier échange de 30 minutes. Sans engagement, on identifie ensemble les 2 ou 3 leviers qui feront le plus de différence sur votre marché.