Un client potentiel trouve votre entreprise dans Google, clique, et son navigateur lui affiche « Non sécurisé » à côté de l’adresse avant même qu’il voie votre logo. Sans certificat SSL, c’est ce que vivent vos visiteurs, et plusieurs reculent à ce moment-là.
Ce n’est pas qu’une question d’image, par contre. Voici ce que fait réellement un certificat, ce qu’il ne fait pas, et ce que vous pouvez vérifier sur votre site en cinq minutes.
Un certificat SSL, ça sert à quoi exactement?
Quand quelqu’un visite votre site, son navigateur et votre serveur s’échangent des données. La page, les images, mais aussi tout ce que le visiteur tape dans un formulaire : son nom, son courriel, parfois son numéro de téléphone. Sans certificat, ces données voyagent en clair. N’importe quel intermédiaire sur le chemin, comme le Wi-Fi public d’un café ou un routeur mal configuré, peut les lire ou les modifier.
Le certificat chiffre cet échange. L’adresse passe de http:// à https://. Il confirme aussi au navigateur que le serveur qui répond est bien celui de votre domaine, et pas un imposteur.
Une précision de vocabulaire. Le protocole SSL a été remplacé il y a longtemps par TLS, mais tout le monde continue de dire « certificat SSL » par habitude. Nous aussi. C’est la même chose.
Ce que le certificat ne fait pas : protéger votre site contre le piratage. Un site WordPress avec une extension vulnérable peut être compromis même avec un HTTPS impeccable. Le chiffrement protège le trajet des données, pas le contenu du serveur. Pour ça, il faut des mises à jour WordPress faites régulièrement et une protection côté serveur.
Site non sécurisé dans Chrome : ce que vos visiteurs voient
Depuis juillet 2018, avec la version 68, Chrome affiche « Non sécurisé » dans la barre d’adresse de toute page servie en HTTP. Les autres navigateurs ont adopté la même logique.
Détail que peu de gens connaissent : Chrome n’affiche même plus le cadenas. Depuis la version 117, en 2023, Google l’a remplacé par une icône de réglages neutre. La raison? Le HTTPS est devenu la norme, et le cadenas laissait croire à certains internautes que le site lui-même était digne de confiance, ce qu’il ne garantit pas. Firefox et Safari montrent encore le cadenas. Bref, aujourd’hui, personne ne remarque la présence du HTTPS. On remarque son absence.
Et ça devrait se durcir. Google a annoncé son intention d’activer par défaut le réglage « Toujours utiliser des connexions sécurisées » pour les sites publics, à partir de Chrome 154, dont la sortie est prévue vers octobre 2026. Si le calendrier est respecté, un visiteur qui tente d’ouvrir un site resté en HTTP verra un avertissement et devra confirmer qu’il veut continuer. Pour un commerce local, c’est une porte qui se ferme au nez du client.
HTTPS et référencement : quel effet sur Google?
Oui, mais soyons honnêtes sur l’ampleur. Google a annoncé en 2014 que le HTTPS devenait un signal de classement, et l’a lui-même décrit comme un signal léger. Passer en HTTPS ne propulsera pas votre site en première page.
L’effet indirect pèse beaucoup plus. Un visiteur qui voit un avertissement retourne aux résultats de recherche et clique sur le concurrent juste en dessous. Il ne remplit pas votre formulaire. Il n’appelle pas. Si vous payez de la publicité en ligne, envoyer des clics vers une page marquée « Non sécurisé » revient à jeter une partie de votre budget.
Il y a aussi le cas classique du passage au HTTPS à moitié fait. Le certificat est installé, mais le site répond encore sur les deux adresses, http et https, sans redirection. Google voit alors deux versions de chaque page. La correction : une redirection 301 de toutes les adresses HTTP vers leur équivalent HTTPS. Quelques lignes de configuration, encore faut-il que quelqu’un s’en occupe.
Certificat SSL gratuit ou payant : lequel prendre?
Pour une PME, un OBNL ou un site vitrine, prenez un certificat gratuit comme ceux de Let’s Encrypt. Il chiffre exactement de la même façon qu’un certificat payant. Ce qui distingue les types de certificats, c’est la vérification faite sur le propriétaire du site :
- DV (validation de domaine) : on vérifie seulement que vous contrôlez le domaine. C’est ce que fournit Let’s Encrypt, et ça convient à la grande majorité des sites.
- OV (validation d’organisation) : l’autorité de certification vérifie aussi que l’entreprise existe. L’information se trouve dans le certificat, mais presque aucun visiteur ne va la consulter.
- EV (validation étendue) : la vérification la plus poussée. Les navigateurs affichaient autrefois le nom de l’entreprise en vert dans la barre d’adresse. Ils ont abandonné cet affichage en 2019, ce qui a fait disparaître la principale raison d’en payer un pour une petite entreprise.
Notre conseil : si on vous facture un certificat chaque année pour un site vitrine, demandez ce qu’il vous donne de plus qu’un certificat gratuit. La réponse honnête est souvent « rien que vos clients verront ».
Pourquoi les certificats expirent de plus en plus vite
C’est le point que beaucoup de propriétaires ignorent. Un certificat SSL a une date d’expiration, et cette durée raccourcit d’année en année.
Le CA/Browser Forum, l’organisme qui réunit les autorités de certification et les fabricants de navigateurs, a adopté en 2025 une réduction graduelle. Depuis le 15 mars 2026, un certificat public ne peut pas être valide plus de 200 jours. Ce sera 100 jours en mars 2027, puis 47 jours en mars 2029. Let’s Encrypt, qui émet déjà des certificats de 90 jours, prévoit passer à 45 jours d’ici 2028.
À 47 jours, renouveler à la main n’a plus aucun sens. Le renouvellement doit être automatique et géré par l’hébergeur.
Ce qu’on voit encore trop souvent : un certificat acheté chez un fournisseur, installé une fois par un ancien webmestre, puis oublié. Un lundi matin, le site affiche une page d’erreur plein écran (« Votre connexion n’est pas privée ») et personne ne sait dans quel compte se connecter pour le renouveler.
Vérifiez votre site en cinq minutes
- Tapez votre adresse avec http:// devant, par exemple http://votreentreprise.ca. Vous devriez aboutir automatiquement sur la version https://.
- Refaites le test avec et sans « www ». Les quatre combinaisons doivent mener à la même adresse en HTTPS.
- Cliquez sur l’icône à gauche de l’adresse, puis sur les détails de la connexion, pour afficher le certificat et sa date d’expiration.
- Ouvrez votre page contact. Si le navigateur signale du « contenu mixte », une image ou un script est encore appelé en HTTP. C’est fréquent sur les vieux sites WordPress passés au HTTPS sur le tard.
- Demandez à votre hébergeur si le renouvellement est automatique. La réponse devrait être oui, sans hésitation.
Le formulaire de contact mérite une attention particulière. S’il recueille un nom, un courriel ou un numéro de téléphone, il s’agit de renseignements personnels au sens de la Loi 25, et les faire transiter sans chiffrement est difficile à justifier en 2026. On en parle dans notre article sur la Loi 25 et votre site web.
Ce que votre hébergeur devrait faire à votre place
L’émission et le renouvellement du certificat ne devraient pas être votre problème. Sur un hébergement bien géré, le certificat est créé dès que le domaine pointe vers le serveur, puis il se renouvelle tout seul, sans facture séparée. Si votre fournisseur vend encore le SSL en option, ou si vous comparez des offres, ajoutez ce point à votre liste. Nos critères sont détaillés dans notre guide pour choisir un hébergeur web au Québec.
Faites le test des cinq étapes aujourd’hui. Si l’une d’elles accroche, écrivez-nous avec l’adresse de votre site et on vous dira quoi corriger.