HTTPS est aujourd'hui indispensable pour tout site web : sécurité des données, confiance des utilisateurs, prérequis Google et avantage SEO. Grâce à Let's Encrypt, les certificats SSL sont gratuits et automatiquement renouvelés. Voici tout ce qu'il faut savoir.
Pourquoi HTTPS est obligatoire
Sans https, les données transitent en clair : mots de passe, données de formulaires, sessions. Quiconque sur le même réseau peut les intercepter (attaque man-in-the-middle).
Depuis 2018, Google marque les sites HTTP comme "Non sécurisé" dans Chrome. C'est un signal négatif fort pour la confiance et le taux de conversion. HTTPS est aussi un facteur de classement Google (léger mais réel) et un prérequis pour les Service Workers et PWA.
Comment fonctionne SSL/TLS
SSL (et son successeur TLS) établit un tunnel chiffré entre le navigateur et le serveur. Le certificat ssl prouve l'identité du serveur et contient la clé publique pour le chiffrement. Les navigateurs vérifient que le certificat est signé par une autorité de certification (CA) de confiance.
Let's Encrypt est une CA gratuite et automatisée, reconnue par tous les navigateurs modernes.
Installation avec Certbot (Nginx)
apt install certbot python3-certbot-nginx
certbot --nginx -d monsite.fr -d www.monsite.fr
Certbot génère le certificat, modifie automatiquement la configuration Nginx et configure le renouvellement automatique. Le certificat est valide 90 jours et se renouvelle automatiquement.
# Vérifier le renouvellement automatique
systemctl status certbot.timer
# Tester le renouvellement
certbot renew --dry-run
Redirection HTTP vers HTTPS
Après l'installation, redirigez tout le trafic HTTP vers https :
server {
listen 80;
server_name monsite.fr www.monsite.fr;
return 301 https://$server_name$request_uri;
}
Ajoutez HSTS pour forcer https dans les navigateurs (évite les attaques de downgrade) :
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
Certificats Wildcard
Un certificat wildcard (*.monsite.fr) couvre tous les sous-domaines. Il nécessite une validation DNS (ajout d'un enregistrement TXT) :
certbot certonly --manual --preferred-challenges dns -d "*.monsite.fr" -d "monsite.fr"
Pour automatiser le renouvellement, utilisez un plugin DNS compatible votre registrar (OVH, Cloudflare, etc.) avec Certbot.
Vérification de la configuration SSL
Testez votre configuration https sur SSL Labs qui attribue une note A/B/C et détaille les vulnérabilités. Une configuration moderne doit obtenir A ou A+.
Configurez les suites de chiffrement modernes dans Nginx :
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:...;
Conclusion
Passer en https n'a jamais été aussi simple et gratuit avec Let's Encrypt et Certbot. C'est une action prioritaire pour tout site web : amélioration de la sécurité, de la confiance, du SEO et de la compatibilité avec les technologies modernes. Aucune excuse pour rester en HTTP en 2025.
HTTPS est le strict minimum, mais la sécurité TLS va bien plus loin. Configurez des en-têtes de sécurité HTTP : Strict-Transport-Security pour forcer HTTPS, Content-Security-Policy contre les injections XSS, et X-Frame-Options contre le clickjacking. Renouvelez automatiquement vos certificats Let's Encrypt avec un cron ou systemd timer. Pour les sites critiques, activez le Certificate Transparency Monitoring et HSTS preloading. Testez la qualité de votre configuration TLS avec SSL Labs qui vous donne une note détaillée avec des recommandations précises. Visez systématiquement le grade A+ pour garantir la confiance des visiteurs et des moteurs de recherche.
Renouvellement automatique
Configurez le renouvellement automatique des certificats Let's Encrypt avec systemd : systemctl enable --now certbot.timer. Ce timer vérifie quotidiennement si les certificats expirent dans moins de 30 jours et les renouvelle automatiquement. Testez le renouvellement avec certbot renew --dry-run pour vérifier que la configuration est correcte avant la première vraie échéance.
OCSP Stapling
Activez l'OCSP Stapling dans Nginx pour accélérer la vérification des certificats côté client : sslstapling on; sslstapling_verify on; resolver 8.8.8.8 valid=300s;. Sans stapling, le navigateur contacte l'autorité de certification à chaque visite pour vérifier la révocation du certificat, ajoutant une latence de 50 à 200ms. Avec stapling, le serveur web fournit directement la preuve de validité pré-chargée.
