Glossaire

HTTP vs HTTPS : quelle difference et pourquoi c'est important ?

Par MeilleurHebergement.ch ·
HTTP vs HTTPS : quelle difference et pourquoi c'est important ?

Qu’est-ce que HTTP ?

HTTP (HyperText Transfer Protocol) est le protocole de communication qui permet aux navigateurs web d’echanger des donnees avec les serveurs. Quand vous tapez une adresse dans votre navigateur et appuyez sur Entree, c’est HTTP qui transporte votre requete jusqu’au serveur et ramene la page web en retour.

Cree en 1991 par Tim Berners-Lee au CERN (a Geneve, en Suisse), HTTP a ete le fondement du World Wide Web pendant plus de deux decennies. Le protocole fonctionne sur un modele simple : le client (votre navigateur) envoie une requete, le serveur repond avec les donnees demandees (page HTML, image, fichier CSS, etc.).

Le probleme fondamental de HTTP est que les donnees circulent en clair. N’importe quel intermediaire sur le reseau (fournisseur d’acces, operateur Wi-Fi, pirate sur un reseau public) peut lire, intercepter ou modifier les donnees echangees. C’est comme envoyer une carte postale : tout le monde peut la lire en chemin.

Qu’est-ce que HTTPS ?

HTTPS (HyperText Transfer Protocol Secure) est la version securisee de HTTP. La difference tient en un seul ajout : une couche de chiffrement SSL/TLS qui protege les donnees en transit entre le navigateur et le serveur.

Avec HTTPS, les donnees sont chiffrees avant d’etre envoyees et dechiffrees a l’arrivee. Meme si quelqu’un intercepte le trafic, il ne verra qu’une suite de caracteres incomprehensibles. C’est comme envoyer une lettre dans une enveloppe scellee et inviolable.

En 2026, HTTPS est devenu le standard absolu. Tous les navigateurs modernes affichent un avertissement lorsqu’un site utilise encore HTTP. Google Chrome marque ces sites comme “Non securise” dans la barre d’adresse, ce qui fait fuir les visiteurs.

Comment fonctionne le chiffrement SSL/TLS ?

Securite HTTPS et chiffrement SSL/TLS pour site web

Le certificat SSL

SSL (Secure Sockets Layer) et son successeur TLS (Transport Layer Security) sont les protocoles de chiffrement utilises par HTTPS. Pour une explication detaillee du protocole, consultez l’article Wikipedia sur HTTPS. Le terme “SSL” est encore largement utilise dans le langage courant, meme si TLS 1.3 est le standard actuel en 2026.

Le fonctionnement repose sur un certificat SSL, un fichier numerique qui remplit deux roles :

  1. Authentification : le certificat prouve que le site est bien celui qu’il pretend etre. Il est delivre par une autorite de certification (CA) qui a verifie l’identite du proprietaire du domaine.

  2. Chiffrement : le certificat contient une cle publique utilisee pour initier une connexion chiffree.

Le handshake TLS

Quand vous visitez un site HTTPS, un processus appele “handshake TLS” se produit en quelques millisecondes :

  1. Votre navigateur contacte le serveur et demande une connexion securisee.
  2. Le serveur envoie son certificat SSL (contenant sa cle publique).
  3. Le navigateur verifie la validite du certificat aupres de l’autorite de certification.
  4. Le navigateur et le serveur negocient une cle de session unique pour chiffrer les echanges.
  5. La communication securisee commence.

Ce processus est entierement transparent pour l’utilisateur. La seule indication visible est le cadenas dans la barre d’adresse et le prefixe “https://” dans l’URL.

Les types de certificats SSL

Il existe trois niveaux de certificats :

  • DV (Domain Validation) : verifie uniquement que le demandeur controle le domaine. C’est le type le plus courant, delivre gratuitement par Let’s Encrypt. Suffisant pour la grande majorite des sites.

  • OV (Organization Validation) : verifie egalement l’existence legale de l’organisation. Utilise par les entreprises qui veulent afficher un niveau de confiance supplementaire.

  • EV (Extended Validation) : verification approfondie de l’identite de l’organisation. Autrefois affiche avec une barre verte dans le navigateur, cette distinction visuelle a ete supprimee par les navigateurs modernes. L’interet de l’EV est aujourd’hui discutable.

Pour la plupart des sites, un certificat DV gratuit de Let’s Encrypt est amplement suffisant. Consultez notre guide sur les certificats SSL gratuits pour en savoir plus.

Les differences concretes entre HTTP et HTTPS

CritereHTTPHTTPS
ChiffrementAucunTLS 1.3 (ou 1.2)
Port par defaut80443
URLhttp://https://
Indicateur navigateur”Non securise”Cadenas
Certificat requisNonOui (SSL/TLS)
PerformanceLegerement plus rapide (negligeable)HTTP/2 et HTTP/3 compensent
SEOPenalise par GoogleFavorise par Google
CoutGratuitGratuit (Let’s Encrypt) a payant

Pourquoi HTTPS est indispensable en 2026

Protection des donnees utilisateurs

La raison premiere est la securite. HTTPS protege toutes les donnees echangees entre le visiteur et votre site : formulaires de contact, identifiants de connexion, informations de paiement, donnees personnelles. Sans HTTPS, ces informations transitent en clair et peuvent etre interceptees.

Meme un simple site vitrine sans formulaire beneficie de HTTPS. Le chiffrement empeche les intermediaires (FAI, hotspots Wi-Fi publics) d’injecter du contenu dans vos pages (publicites, scripts de suivi, ou pire, du code malveillant).

Impact sur le referencement (SEO)

Google a annonce des 2014 que HTTPS etait un signal de classement. En 2026, ce facteur est encore plus important. Google favorise systematiquement les sites HTTPS dans ses resultats de recherche. Un site en HTTP simple subit un handicap SEO reel face a ses concurrents securises.

Au-dela du classement, HTTPS est necessaire pour utiliser le protocole HTTP/2 (et HTTP/3), qui ameliore significativement les performances de chargement. Or, la vitesse de chargement est elle-meme un facteur de classement via les Core Web Vitals. Pour approfondir ce sujet, lisez notre article sur le temps de chargement d’un site web.

Confiance des visiteurs

Le cadenas dans la barre d’adresse est devenu un repere visuel de confiance pour les internautes. A l’inverse, la mention “Non securise” affichee par Chrome sur les sites HTTP fait fuir les visiteurs. Des etudes montrent que plus de 80 % des utilisateurs quittent un site affichant cet avertissement, surtout s’il s’agit d’un site e-commerce ou d’un formulaire de contact.

Conformite reglementaire

Le RGPD en Europe et la nLPD en Suisse exigent la protection des donnees personnelles. Utiliser HTTP pour un site qui collecte des donnees (meme un simple formulaire de contact) peut etre considere comme un manquement a ces obligations legales. HTTPS n’est pas explicitement requis par ces textes, mais il constitue une mesure technique de base attendue par les autorites de controle.

Fonctionnalites modernes du web

De nombreuses API web modernes ne fonctionnent qu’en HTTPS :

  • Geolocalisation
  • Notifications push
  • Service Workers (pour les Progressive Web Apps)
  • Acces a la camera et au microphone
  • HTTP/2 et HTTP/3

Si vous prevoyez d’utiliser ces fonctionnalites, HTTPS est un prerequis technique.

Comment passer votre site en HTTPS

Etape 1 : Obtenir un certificat SSL

La methode la plus simple et la plus courante est d’utiliser Let’s Encrypt, une autorite de certification gratuite et automatisee. La plupart des hebergeurs de qualite integrent Let’s Encrypt directement dans leur panneau de controle :

  • Infomaniak : certificat SSL Let’s Encrypt inclus et active automatiquement. Consultez notre avis sur Infomaniak.
  • o2switch : Let’s Encrypt inclus, activation en un clic via cPanel. Voir notre avis sur o2switch.
  • Hetzner : Let’s Encrypt disponible via Certbot sur les VPS. Voir notre avis sur Hetzner.
  • PlanetHoster : SSL gratuit inclus dans toutes les offres. Voir notre avis sur PlanetHoster.
  • Hostinger : SSL gratuit inclus. Voir notre avis sur Hostinger.

Etape 2 : Configurer la redirection HTTP vers HTTPS

Une fois le certificat installe, il faut rediriger tout le trafic HTTP vers HTTPS. Sur un serveur Apache, ajoutez ces lignes dans votre fichier .htaccess :

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Sur Nginx, ajoutez dans votre configuration :

server {
    listen 80;
    server_name votredomaine.ch;
    return 301 https://$server_name$request_uri;
}

La redirection 301 (permanente) indique aux moteurs de recherche que votre site est desormais accessible uniquement en HTTPS.

Etape 3 : Mettre a jour les ressources internes

Verifiez que toutes les ressources de votre site (images, scripts, feuilles de style) sont chargees en HTTPS. Un melange de ressources HTTP et HTTPS (appele “mixed content”) provoque des avertissements dans le navigateur et peut bloquer le chargement de certains elements.

Sur WordPress, un plugin comme “Really Simple Security” (anciennement “Really Simple SSL”) automatise cette correction. Pour les sites statiques, une recherche et remplacement de http:// par https:// dans vos fichiers suffit.

Etape 4 : Mettre a jour les outils externes

  • Google Search Console : ajoutez la version HTTPS de votre site comme nouvelle propriete.
  • Google Analytics / Matomo : verifiez que l’URL de suivi utilise HTTPS.
  • Sitemap : mettez a jour votre sitemap.xml avec les URLs HTTPS.
  • Liens externes : contactez les sites qui pointent vers votre site pour leur demander de mettre a jour leurs liens (optionnel, la redirection 301 fait le travail).

Etape 5 : Verifier le bon fonctionnement

Utilisez des outils gratuits pour verifier votre configuration SSL :

  • SSL Labs (ssllabs.com) : analyse detaillee de votre configuration TLS, note de A+ a F.
  • Why No Padlock : detecte les contenus mixtes sur vos pages.
  • Google PageSpeed Insights : verifie les performances globales, y compris la securite.

Code et configuration pour passer un site en HTTPS

Erreurs courantes lors du passage a HTTPS

Contenu mixte (mixed content)

C’est l’erreur la plus frequente. Votre page est chargee en HTTPS, mais certaines ressources (images, scripts) sont encore appelees en HTTP. Le navigateur bloque ces ressources ou affiche un avertissement. La solution : traquer et corriger toutes les URLs en HTTP dans votre code source. La documentation MDN sur les contenus mixtes explique en detail ce probleme et comment le resoudre.

Redirection en boucle

Une mauvaise configuration de la redirection peut creer une boucle infinie : le serveur redirige HTTP vers HTTPS, puis HTTPS vers HTTP, et ainsi de suite. Cela produit une erreur “ERR_TOO_MANY_REDIRECTS” dans le navigateur. Verifiez que votre fichier .htaccess ne contient pas de regles contradictoires.

Certificat expire

Les certificats Let’s Encrypt ont une duree de validite de 90 jours et doivent etre renouveles automatiquement. Si le renouvellement echoue, votre site affichera un avertissement de securite effrayant. Verifiez que le mecanisme de renouvellement automatique (certbot renew) fonctionne correctement.

Perte de trafic SEO temporaire

Lors du passage a HTTPS, une legere baisse de trafic est normale pendant quelques jours a quelques semaines, le temps que Google re-indexe vos pages avec les nouvelles URLs. Les redirections 301 correctement configurees permettent de transferer la quasi-totalite de l’autorite SEO vers les nouvelles URLs.

FAQ

HTTPS ralentit-il mon site ?

Non. Le chiffrement TLS ajoute une latence negligeable (quelques millisecondes) lors du premier chargement. En contrepartie, HTTPS est necessaire pour utiliser HTTP/2 et HTTP/3, des protocoles qui accelerent significativement le chargement des pages. Au final, un site HTTPS avec HTTP/2 est plus rapide qu’un site HTTP classique.

Le certificat SSL gratuit de Let’s Encrypt est-il aussi securise qu’un certificat payant ?

Oui, du point de vue du chiffrement. Un certificat Let’s Encrypt utilise le meme niveau de chiffrement qu’un certificat payant. La difference se situe dans le niveau de validation d’identite (DV vs OV vs EV) et dans la garantie financiere offerte par certains certificats payants. Pour un site vitrine ou un blog, Let’s Encrypt est parfaitement adapte.

Mon site n’a pas de formulaire. Ai-je quand meme besoin de HTTPS ?

Oui, absolument. HTTPS protege l’integrite de votre site (pas d’injection de contenu par des tiers), ameliore votre SEO, inspire confiance aux visiteurs et est necessaire pour les fonctionnalites web modernes. Il n’y a aucune raison valable de rester en HTTP en 2026.

Comment verifier si un site utilise HTTPS ?

Regardez la barre d’adresse de votre navigateur. Un site HTTPS affiche un cadenas et l’URL commence par “https://”. Vous pouvez egalement cliquer sur le cadenas pour voir les details du certificat (autorite emettrice, date d’expiration, domaine couvert).

Que se passe-t-il si mon certificat SSL expire ?

Les visiteurs verront un avertissement de securite pleine page leur deconseillant de continuer. La plupart quitteront immediatement votre site. Google peut egalement desindexer temporairement vos pages. C’est pourquoi le renouvellement automatique est essentiel. Avec Let’s Encrypt et la plupart des hebergeurs modernes, le renouvellement est automatise et ne necessite aucune intervention.

#http #https #ssl #securite #glossaire