Un client m'envoie un mail, il y a quelques semaines : « Mon site est passé en "non sécurisé" sur Chrome, vous pouvez regarder ? » Je jette un œil. Le certificat avait expiré depuis trois jours. Trois jours pendant lesquels les visiteurs voyaient un avertissement rouge avant même d'arriver sur sa page d'accueil. Sur cette période, il a perdu à peu près 40 % de ses commandes. Pas parce que son site était piraté. Juste parce que le cadenas avait disparu.
Voilà pourquoi la question « https versus http » n'est pas un détail de geek. C'est la première chose que votre navigateur vérifie avant d'afficher quoi que ce soit, et la première que vos visiteurs voient. Dans cet article, je vous explique ce qui se passe vraiment entre les deux, comment passer de l'un à l'autre sans casser votre référencement, et les pièges que j'ai moi-même rencontrés en migrant mes propres projets.
Points clés à retenir
- HTTP transmet les données en clair, HTTPS les chiffre via une couche TLS.
- Le cadenas du navigateur n'est pas décoratif : sans lui, Chrome et Firefox affichent un avertissement.
- Un certificat gratuit (Let's Encrypt) suffit pour la grande majorité des sites.
- La migration demande une redirection 301 propre, sinon vous perdez du trafic.
- HTTPS n'est pas un bonus SEO magique, mais son absence est devenue un handicap.
Quelle est la vraie différence entre HTTP et HTTPS ?
HTTP, c'est le protocole qui permet à votre navigateur de demander une page à un serveur, et au serveur de répondre. Une requête part, une réponse revient. Point. Ce dialogue circule en clair sur le réseau.
HTTPS, c'est exactement le même dialogue, mais enveloppé dans un tunnel chiffré. Le « S » signifie Secure. Concrètement, entre votre navigateur et le serveur, un tiers qui intercepte les paquets ne voit rien d'exploitable : ni votre mot de passe, ni votre numéro de carte, ni le contenu de la page.
Ce qui change techniquement
Le port utilisé. HTTP passe par le port 80. HTTPS par le port 443. C'est le premier réflexe quand on diagnostique un souci de connexion : si le port 443 est bloqué par un pare-feu, le site tombe même si le certificat est valide.
Et puis il y a le certificat. HTTPS exige qu'un serveur présente un certificat signé par une autorité de certification reconnue. Sans certificat valide, le navigateur refuse la connexion sécurisée et vous renvoie l'avertissement que mon client a connu.
| Critère | HTTP | HTTPS |
|---|---|---|
| Port par défaut | 80 | 443 |
| Chiffrement | Aucun | TLS |
| Certificat requis | Non | Oui |
| Affichage navigateur | « Non sécurisé » | Cadenas |
| Coût typique | 0 € | 0 € à quelques dizaines d'euros par an |
Le point que beaucoup ignorent : un certificat HTTPS ne coûte plus rien pour un usage standard. Let's Encrypt délivre des certificats gratuits depuis des années, et la quasi-totalité des hébergeurs les installent en un clic. Le frein du prix n'existe plus.
C'est quoi, HTTP exactement ?
HTTP signifie HyperText Transfer Protocol. C'est le langage commun que parlent les navigateurs et les serveurs web depuis le début des années 90. Quand vous tapez une adresse, votre navigateur envoie une requête HTTP, le serveur renvoie un code de statut (200 pour « OK », 404 pour « pas trouvé ») et le contenu demandé.
Pourquoi HTTP seul ne suffit plus
Parce qu'un site en HTTP est lisible par n'importe qui sur le chemin entre le serveur et le visiteur. Sur un wifi public, un attaquant peut intercepter la session, injecter du contenu, modifier la page. Ce n'est pas de la théorie : des extensions de navigateur malveillantes font exactement ça.
J'ai testé, par curiosité, sur un vieux routeur que j'avais chez moi. J'ai pu voir passer en clair le formulaire de connexion d'un site que je consultais en HTTP. Le mot de passe était lisible. Ça m'a un peu refroidi.
C'est quoi, un site HTTPS ?
Un site HTTPS est simplement un site dont le serveur présente un certificat valide et accepte les connexions chiffrées. Rien de mystérieux. La différence avec un site HTTP se joue au niveau du serveur, pas du contenu : le code HTML peut être identique.
Ce qui change pour le visiteur, c'est la confiance. Le cadenas affiché à gauche de l'adresse indique que la connexion est chiffrée. Et à l'inverse, sans HTTPS, la mention « Non sécurisé » s'affiche en clair dans la barre d'adresse. Ce n'est pas neutre : je vois régulièrement des taux de rebond grimper sur des pages où cet avertissement apparaît.
Comment passer de HTTP à HTTPS ?
J'ai migré mes trois sites et deux projets clients. Le premier m'a pris une demi-journée parce que j'ai fait des erreurs. Le dernier, une heure. Voici la procédure que j'applique désormais.
- Vérifier que votre hébergeur propose un certificat gratuit et l'activer (souvent dans le panneau de gestion).
- Forcer la redirection de toutes les URL HTTP vers leur version HTTPS via une règle 301 côté serveur.
- Passer le site en HSTS pour que le navigateur n'accepte plus jamais du HTTP sur votre domaine.
- Traquer le contenu mixte : images, scripts ou polices encore chargés en HTTP sur une page HTTPS.
- Mettre à jour l'URL dans votre outil de suivi, votre sitemap, et vos balises canoniques.
L'erreur que j'ai commise : le contenu mixte
Sur mon premier site, j'ai activé le certificat, tout semblait bon. Mais une image dans mon article le plus lu était encore appelée en HTTP dans le code. Résultat : le cadenas s'affichait, mais avec un avertissement discret. Pendant deux semaines, je n'ai rien remarqué. C'est un détail qui échappe à l'œil nu et que la console du navigateur révèle tout de suite.
Leçon : après migration, ouvrez chaque page importante avec la console ouverte et vérifiez qu'aucune requête ne pointe encore vers du HTTP.
HTTPS et référencement : ce que ça change vraiment
Vous avez sans doute lu partout que HTTPS est « essentiel pour le SEO ». C'est vrai, mais pas pour la raison qu'on croit. HTTPS n'est pas un signal qui fait bondir votre position de dix places. C'est un signal parmi des dizaines d'autres, et son poids est modeste.
Ce qui pèse, en revanche, c'est l'absence. Un site en HTTP affiche un avertissement qui fait fuir les visiteurs, augmente le taux de rebond, et réduit le temps passé sur la page. Tous ces comportements finissent par peser sur le classement, indirectement.
Ma conviction, et je l'assume : HTTPS est aujourd'hui une condition d'entrée, pas un levier. Vous ne gagnerez rien à le mettre en place, mais vous pouvez tout perdre en ne le faisant pas.
Questions fréquentes
HTTPS coûte-t-il plus cher ?
Non, dans l'immense majorité des cas. Un certificat Let's Encrypt est gratuit, renouvelable automatiquement, et reconnu par tous les navigateurs modernes. Les certificats payants servent à des besoins spécifiques : validation étendue d'entreprise, garantie financière, support. Pour un blog ou une boutique classique, le gratuit suffit.
Un site en HTTP est-il encore visible sur Google ?
Oui, il reste indexable et peut apparaître dans les résultats. Mais les navigateurs le signalent comme non sécurisé, et c'est ce signal qui fait la différence pour vos visiteurs. Vérifier si un site est en HTTP ou HTTPS est immédiat : regardez la barre d'adresse, le cadenas et le « https » en début d'URL.
Que se passe-t-il si le certificat expire ?
C'est exactement ce qui est arrivé à mon client. Les navigateurs bloquent l'accès avec un avertissement, les visiteurs s'en vont, et le trafic chute brutalement. La solution est simple : configurer le renouvellement automatique du certificat, et vérifier une fois par trimestre qu'il fonctionne.
La vraie question, au fond, n'est peut-être pas « HTTP ou HTTPS ». C'est : combien de temps votre site peut-il rester sans cadenas avant que quelqu'un s'en aperçoive ? Si vous n'avez pas la réponse, c'est probablement le moment de vérifier. Maintenant.
