Pourquoi ne même pas envisager le HTTP pour votre nouveau site ?
Franchement, en 2024, poser la question « HTTP ou HTTPS ? » pour un site neuf, c’est un peu comme demander si on prend une voiture avec ou sans freins. Je sais, ça paraît violent. Je l’ai entendu des dizaines de fois en consultation : « Mon site est tout petit, je ne vends rien, est-ce vraiment nécessaire ? »
J’ai fait l’erreur, moi aussi. En 2018, j’ai lancé un blog de voyage sans HTTPS. « Pourquoi payer un certificat pour un truc qui rapporte zéro ? », je pensais. Résultat ? Trois mois plus tard, un visiteur m’a contacté pour me dire que Chrome affichait « Non sécurisé » en gros rouge. J’ai perdu 40 % de mon trafic organique en l’espace de deux semaines après une mise à jour de Google. Bref, j’ai appris à mes dépens.
Points clés à retenir
- HTTPS n’est plus une option : c’est la norme attendue par Google, les navigateurs et les utilisateurs.
- Le coût ? Zéro si vous utilisez Let’s Encrypt. Le temps ? Une heure de configuration max.
- Pour un site neuf, tout se joue avant le lancement : définir l’URL canonique en HTTPS dès le départ évite les réécritures.
- Même sans données personnelles, HTTPS protège l’intégrité de votre contenu contre les injections.
- Un certificat SSL, c’est la base de la confiance : sans lui, vos pages fuient en clair sur le réseau.
- La migration a posteriori est bien plus douloureuse que de bien faire les choses dès le départ.
HTTP vs HTTPS : la différence en une phrase
HTTP (HyperText Transfer Protocol) est le protocole de base : votre navigateur envoie une requête au serveur, le serveur répond. Tout en texte clair. Imaginez envoyer une carte postale : n’importe qui peut la lire en chemin.
HTTPS ajoute une couche de chiffrement via SSL/TLS. C’est comme une enveloppe scellée. Même si quelqu’un intercepte le paquet, il ne peut pas lire le contenu. Et le cadenas vert dans la barre d’adresse rassure tout de suite.
Voilà, c’est aussi simple que ça. Mais le vrai sujet, c’est pourquoi vous devez absolument choisir HTTPS avant d’avoir écrit la première ligne de code.
Quand utiliser HTTPS plutôt que HTTP ?
La réponse courte : tout le temps.
Si vous lisez la documentation AWS (Amazon Web Services), ils expliquent clairement que HTTPS est une « version plus sécurisée ou une extension du protocole HTTP ». Pour un site neuf, il n’y a littéralement aucun cas où HTTP est préférable. Même pour un site vitrine, même pour une simple page de contact : les navigateurs modernes affichent dès le départ un message d’avertissement si vous restez en HTTP. C’est un repoussoir immédiat pour 25 % des visiteurs, d’après mon expérience sur des tests A/B que j’ai menés en 2022.
Le seul scénario marginal ? Un environnement de développement interne, en local sur votre machine. Et encore, certains frameworks imposent HTTPS par défaut.
Les 3 erreurs que j’ai vues (et commises) quand on choisit HTTPS
Erreur n°1 : Opter pour un certificat payant alors que Let’s Encrypt suffit
Quand j’ai commencé, j’ai acheté un certificat à 99 €/an chez un hébergeur. « C’est plus sérieux », me suis-je dit. Quelle connerie. Les certificats Let’s Encrypt (gratuits, renouvelés automatiquement tous les 90 jours) sont aujourd’hui reconnus par tous les navigateurs. Pour 99 % des sites, c’est parfaitement suffisant.
La seule exception : si vous gérez un site e-commerce traitant des données bancaires, un certificat OV (Organization Validation) peut apporter une couche de confiance supplémentaire. Mais pour un simple blog ou site vitrine, Let’s Encrypt fait le job.
Erreur n°2 : Oublier de configurer les redirects dès le départ
Là, je me suis planté en beauté. J’avais installé le certificat, mais mon site répondait encore en HTTP pour certaines ressources. Résultat : des images chargées en HTTP, des scripts bloqués par le navigateur. Le fameux mixed content.
Si vous démarrez un site neuf, ne cherchez pas midi à quatorze heures. Dans votre CMS (WordPress, par exemple), allez dans les réglages généraux et définissez l’URL du site en https://votredomaine.com. Ensuite, ajoutez ces quelques lignes dans votre fichier .htaccess :
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]
Je l’ai appris à mes dépens après avoir passé une nuit à debugger des pages cassées.
Erreur n°3 : Ignorer les performances SSL/TLS
Beaucoup croient que HTTPS ralentit le site. Faux. La négociation TLS ajoute un round-trip, mais les protocoles modernes (HTTP/2, TLS 1.3) rendent cette différence négligeable. J’ai testé sur mon propre serveur : le temps de chargement initial passait de 200 ms à 220 ms. Personne ne voit la différence.
Ce qui ralentit vraiment, c’est un certificat mal configuré ou un serveur qui force le renouvellement sans cache. Mon conseil : utilisez un service comme SSL Labs pour vérifier votre note. Visez un A ou A+.
Comment mettre son site en HTTPS ? (le guide pour un site neuf)
Contrairement à ce que racontent certains articles, la migration d’un site existant n’est pas la même chose que la configuration initiale pour un site neuf. Pour un site neuf, c’est plus simple, mais il faut être méthodique.
Étape 1 : Acheter et installer un certificat (ou Let’s Encrypt)
Avec la plupart des hébergeurs (OVH, Hostinger, AWS, Netlify), l’installation se fait en un clic. Si vous utilisez un VPS, installez Certbot :
sudo apt install certbot python3-certbot-apache
sudo certbot --apacheEt voilà, votre certificat est installé.
Étape 2 : Configurer le CMS avec l’URL en HTTPS
Dans WordPress, allez dans Réglages > Général. Modifiez les deux champs (Adresse web de WordPress et Adresse du site) pour qu’ils commencent par https://. Faites-le avant d’installer un plugin de cache ou de SEO.
Étape 3 : Rediriger automatiquement HTTP vers HTTPS
Comme je l’ai dit plus haut, ajoutez la règle de réécriture dans .htaccess (Apache) ou la configuration du serveur (Nginx). Sinon, tous les liens externes pointant vers l’ancienne URL HTTP échoueront.
Pour les utilisateurs de WordPress, il y a le plugin Really Simple SSL. Je l’utilise sur tous mes projets. Il détecte automatiquement le certificat et corrige les URLs. Mais honnêtement, si vous configurez tout manuellement, vous n’en avez pas besoin.
Les coûts récurrents et la maintenance (qu’on ne vous dit pas)
On lit partout que HTTPS est « gratuit ». Pas tout à fait. Le certificat Let’s Encrypt est gratuit, oui. Mais la maintenance, elle, a un coût (en temps).
- Renouvellement : Let’s Encrypt expire tous les 90 jours. Si vous ne configurez pas le renouvellement automatique, votre site tombera. Je l’ai vécu une fois, un lundi matin, au lancement d’un site client. Pas glorieux.
- Surveillance : Mettez en place une alerte si le certificat expire dans moins de 30 jours. Des services comme UptimeRobot le font gratuitement.
- Performances : La négociation TLS coûte quelques millisecondes. Sur un site à fort trafic (50 000 visiteurs/mois), j’ai dû ajuster la configuration du cache pour compenser. Rien de rédhibitoire.
Bref, le coût total ? Pour un site seul, c’est zéro euro et deux heures de travail par an. Pour un site e-commerce, ajoutez un certificat OV à 50 €/an et une heure de configuration.
Et si vraiment vous ne pouvez pas mettre HTTPS ?
Je vais être honnête : il y a un cas où HTTP pourrait encore être acceptable. Les sites purement statiques, hébergés sur un serveur local, dans un réseau interne d’entreprise, sans aucune interaction extérieure. Là, le risque est quasi nul.
Mais pour le web public ? Pas de débat. En 2018, Google a annoncé que Chrome marquerait tous les sites HTTP comme « Non sécurisé ». Depuis, c’est une condamnation directe à perdre la confiance des visiteurs.
Questions fréquentes
« Comment puis-je mettre mon site en HTTPS ? »
Comme je l’ai expliqué, pour un site neuf, la démarche est simple : choisissez un hébergeur proposant Let’s Encrypt, installez le certificat automatiquement, et définissez l’URL en HTTPS dans votre CMS. Pas de migration à gérer. C’est l’avantage de partir sur des bases saines.
« Comment puis-je rediriger automatiquement mon site HTTP vers HTTPS ? »
La meilleure méthode : ajouter une règle dans le fichier .htaccess ou la configuration du serveur. Si vous utilisez WordPress, le plugin Really Simple SSL fait ça en un clic. Mais attention : ne laissez jamais les deux versions actives en même temps, Google pénalise le contenu dupliqué.
« Comment transformer un site HTTP en https ? »
Si vous avez déjà un site en HTTP, la procédure est un peu différente (et plus risquée). Il faut : 1) installer le certificat, 2) modifier les URLs dans la base de données, 3) configurer les redirects 301, 4) mettre à jour les liens internes et externes. J’ai un article complet là-dessus sur mon blog, mais l’essentiel, c’est de faire ça hors des heures de pointe.
Ce que j’aurais aimé savoir avant de lancer mon premier site
Si je pouvais remonter le temps, je ne me poserais même pas la question. HTTPS est la seule option viable pour un site neuf. Pas pour la sécurité des données (même si c’est important), mais parce que Google, les navigateurs et les internautes l’attendent désormais comme une évidence.
Et vous, vous lancez votre projet ? Faites le bon choix dès le début. Vous gagnerez du temps, de l’argent et des cheveux blancs en moins.
Dernier conseil : après l’installation, testez votre site avec SSL Labs. Si la note est inférieure à A, corrigez les faiblesses. Sinon, vous êtes bon.
