Certificat SSL expiré : quel avertissement vous concerne

Deux avertissements de navigateur sont régulièrement confondus. Le premier est un écran plein qui bloque l'accès : il signale un certificat invalide ou expiré, et il demande une intervention le jour même. Le second est la mention « Non sécurisé » dans la barre d'adresse : elle signale un site servi en http:// sans certificat du tout, et elle se corrige le plus souvent en quelques clics chez votre hébergeur, sans rien acheter.

La réponse directe : regardez si l'écran bloque, ou pas

Ouvrez votre site dans un navigateur. Si vous voyez une page entière, souvent rouge ou grise, avec un bouton « Retour à la sécurité » et un lien « Paramètres avancés » à déplier pour continuer, votre certificat pose un problème. Expiré, émis pour un autre nom de domaine, ou incomplet. Le visiteur doit poser un geste conscient pour entrer chez vous. Beaucoup ne le posent pas.

Si votre site s'affiche normalement mais que la barre d'adresse indique « Non sécurisé » à côté de l'URL, le cas est différent. Il n'y a pas de certificat en défaut : il n'y a pas de certificat. Le site est servi en http://. Rien ne bloque, la page s'ouvre, et l'avertissement reste discret. C'est moins urgent, mais ce n'est pas satisfaisant non plus.

Ce que nous avons mesuré à Bourges, et ce que nous n'avons pas mesuré

Nous relevons régulièrement l'état technique des sites d'entreprises du Cher. Sur les 120 sites du dernier relevé, 13 ne sont pas servis en HTTPS. Un sur neuf. Ceux-là affichent la mention « Non sécurisé ». Deux d'entre eux portent encore une adresse en http:// jusque dans le lien qu'ils communiquent.

Il faut dire tout de suite ce que ce chiffre ne dit pas. Notre relevé enregistre si l'adresse est servie en HTTPS. Il n'inspecte pas la date de validité du certificat. Un site dont le certificat a expiré la veille est donc compté du bon côté par notre mesure, alors qu'il affiche l'écran bloquant. Nous n'avons aucun chiffre local sur les certificats expirés, et nous n'allons pas en fabriquer un.

Qui est concerné, et qui n'a rien à faire

Si votre site s'ouvre sans écran d'avertissement et que la barre d'adresse ne dit rien de particulier, vous n'êtes concerné ni par l'un ni par l'autre. Vous pouvez fermer cet article. Sur notre relevé, c'est le cas de 107 sites sur 120.

Si vous voyez « Non sécurisé » : vous faites partie du treizième. Vos visiteurs entrent quand même, votre formulaire de contact fonctionne quand même. L'inconfort est réel mais il est visuel, pas bloquant.

Si vous voyez l'écran plein : vous êtes le seul cas urgent des trois. Et une nuance compte : l'écran apparaît parfois pour une raison qui n'est pas de votre côté. L'horloge de l'ordinateur du visiteur, mal réglée, produit exactement la même alerte. Avant de conclure, testez depuis un autre appareil et depuis un téléphone en 4G.

Un dernier groupe n'est concerné par rien de tout cela : ceux qui n'ont pas de site et communiquent uniquement sur les réseaux. Le sujet est ailleurs, et nous l'avons traité dans site internet ou page Facebook.

Ce qu'il faut faire, dans l'ordre

Le point le plus utile est le troisième. Avant d'acheter quoi que ce soit, connectez-vous à l'interface de votre hébergeur et cherchez la rubrique consacrée au certificat. Chez beaucoup d'offres d'hébergement grand public, le certificat est fourni avec le plan et s'active depuis un bouton. Dans ce cas, il n'y a rien à acheter, et une partie de ce que vous lirez ailleurs sur cette question vous oriente vers un achat inutile.

La cinquième étape est celle qu'on oublie. Un certificat installé ne sert à rien si vos anciennes adresses en http:// restent accessibles. Il faut une redirection permanente vers https://, et il faut corriger les liens que vous avez semés vous-même : signature d'e-mail, fiche Google, cartes de visite, catalogues. Les deux sites de notre relevé qui diffusent encore une adresse en http:// perdent le bénéfice du travail déjà fait.

Ce que ça coûte, et combien de temps

Quand le certificat est inclus dans l'hébergement, le coût est de zéro euro. L'activation prend quelques minutes dans l'interface, et la prise d'effet est parfois différée de quelques heures. Le travail réel se situe après : repasser les liens internes, les images appelées en http://, les scripts externes. Sur un site vitrine d'une dizaine de pages, c'est une demi-journée. Sur une boutique avec un historique de contenus, c'est plus long, et l'écart dépend surtout de la manière dont les liens ont été écrits à l'origine.

Quand le certificat n'est pas inclus, il s'achète. Nous ne donnons pas de fourchette de prix ici : nous n'avons pas relevé les tarifs, et un chiffre non vérifié vaut moins que rien.

Ce que nous ne savons pas

Trois zones d'ombre, dites franchement.

Nous ne savons pas combien de sites d'entreprises du Cher ont un certificat expiré. Notre relevé ne mesure pas cela, et nous n'avons pas monté la mesure qui le ferait.

Nous n'avons pas vérifié, hébergeur par hébergeur, les conditions exactes de fourniture et de renouvellement du certificat. On lit souvent que le renouvellement est automatique chez la plupart des acteurs grand public. C'est plausible, cela correspond à ce que nous observons, mais nous ne l'avons pas confirmé sur les pages officielles de chaque offre. Nous ne nommons donc personne, ni en bien ni en mal, et nous vous invitons à lire les conditions de votre propre contrat.

Enfin, nous ne mesurons pas l'effet de l'écran bloquant sur le nombre de visiteurs qui renoncent. Nous constatons qu'il faut un geste volontaire pour le franchir. Combien de personnes le font, sur votre site, à votre trafic : cela se mesure, cela ne se devine pas. La même logique s'applique à la vitesse d'affichage, que nous avons chiffrée dans ce que coûte un site lent sur mobile.

Si vous hésitez sur ce que vous voyez à l'écran, envoyez-nous l'adresse de votre site et une capture de l'avertissement. Nous vous dirons lequel des deux cas vous concerne, et si la réponse est « rien à faire », nous le dirons aussi. D'autres questions techniques du même ordre sont traitées dans la foire aux questions.