HTTPS : le cadenas n'est plus une option
Depuis 2014, Google dit noir sur blanc que la connexion chiffrée est un signal de classement. Mais la vraie raison d'avoir un certificat n'est pas là : sans lui, le navigateur affiche « non sécurisé » à côté de votre nom.
Il reste des sites de PME servis en HTTP nu, et leurs propriétaires l’ignorent, parce qu’ils ne visitent jamais leur propre site autrement qu’en habitué. Trois raisons de vérifier aujourd’hui, par ordre d’importance réelle.
Le navigateur vous étiquette
La première raison n’a rien à voir avec Google : les navigateurs marquent les pages HTTP d’un « non sécurisé » à gauche de l’adresse. Votre prospect, lui, le voit, au moment précis où il se demande si votre entreprise est sérieuse. Aucun travail de contenu ne rattrape une étiquette pareille, et le formulaire de contact rempli sur une page non chiffrée circule en clair.
Google le dit depuis 2014
La deuxième raison est officielle et ancienne : Google a annoncé en 2014 que HTTPS compte comme signal de classement. Signal léger, précisons-le comme toujours : le chiffrement ne fera pas passer une page médiocre devant une bonne. Mais c’est un des rares facteurs binaires du métier, on l’a ou on ne l’a pas, et il se règle une fois pour toutes.
Le certificat est gratuit depuis dix ans
La troisième raison est que l’excuse du coût est morte : les certificats s’obtiennent gratuitement et se renouvellent tout seuls chez tout hébergeur sérieux. Si le vôtre facture le certificat en supplément ou vous laisse gérer l’échéance à la main, c’est un renseignement sur l’hébergeur, pas sur le prix du chiffrement.
Les deux pièges du passage
Pour un site existant, le passage en HTTPS est une migration d’adresses : chaque page change d’URL, de http:// vers https://. Deux gestes évitent l’essentiel des dégâts. D’abord, rediriger l’ancienne adresse vers la nouvelle, page par page, par redirection permanente, exactement le mécanisme décrit dans l’article sur les redirections. Ensuite, traquer le contenu mixte : une page HTTPS qui charge encore une image ou un script en HTTP garde un avertissement du navigateur, et la chasse se fait en ouvrant la console du navigateur, qui liste les ressources fautives.
Le test de départ tient en une ligne : tapez votre adresse avec http:// devant, et regardez si vous êtes redirigé vers la version chiffrée. Si la page s’affiche sans redirection, les deux versions coexistent, et vous avez à la fois l’étiquette « non sécurisé » et un problème de doublon : deux adresses pour chaque page, ce qui nous amène à l’article suivant.
Qui écrit ces notes
Ce journal est tenu par l’atelier qui conçoit et entretient les sites de la maison. Tout ce qui est décrit ici, la Search Console, le maillage, la fiche d’établissement, fait partie du travail livré avec un site : si vous préférez que quelqu’un s’en charge, c’est précisément le métier.