1. Qu’est-ce que HTTPS?
«HTTP» ou «HTTPS» apparaît au début de chaque URL de site Web dans un navigateur Web. HTTP signifie, et le S dans HTTPS signifie En général, cela décrit le protocole sur lequel les données sont envoyées entre votre navigateur et le site Web que vous consultez.
HTTPS garantit que toutes les communications entre votre navigateur et le site Web que vous consultez sont cryptées. Cela signifie que c’est sûr. Seuls les ordinateurs de réception et d’envoi peuvent voir les informations dans le transfert de données (d’autres peuvent y accéder mais ne peuvent pas les lire). Sur les sites sécurisés, le navigateur Web affiche une icône de verrouillage dans la zone URL pour vous avertir.
HTTPS doit être sur tout site Web qui collecte des mots de passe, des paiements, des informations médicales ou d’autres données sensibles. Mais que se passerait-il si vous pouviez obtenir un certificat SSL valide et gratuit pour votre domaine?
2. Comment fonctionne la sécurité du site Web?
Vous devez installer un certificat SSL (Secure Socket Layer) pour activer HTTPS. Le certificat contient une clé publique, nécessaire pour démarrer la session en toute sécurité. Lorsqu’une connexion HTTPS à une page Web est demandée, le site Web enverra le certificat SSL à votre navigateur Web. Votre navigateur et le site lancent la «prise de contact SSL», qui consiste à partager des «secrets» pour établir une connexion sécurisée entre votre navigateur et le site Web.
Mise à jour du contenu
Ebook de sécurité SSL gratuit
(4 pages) La liste de contrôle en 21 étapes pour
Assurer un site WordPress sécurisé à 99,9%
Télécharger
SSL standard ou SSL étendu
Si le site Web utilise un certificat SSL standard, vous verrez une icône de verrouillage dans la zone URL du navigateur (voir capture d’écran). Si vous utilisez un certificat SSL à validation étendue (EV), la barre d’adresse ou l’URL sera verte. Les normes SSL EV surpassent les normes SSL. EV SSL fournit une garantie d’identité du propriétaire du domaine. L’obtention d’un certificat SSL EV nécessite également que les candidats passent par un processus d’évaluation rigoureux pour confirmer leur authenticité et leur propriété.
3. Pourquoi devrais-je obtenir un certificat SSL?
Même si votre site Web n’accepte pas ou ne transmet pas de données sensibles, il y a plusieurs raisons pour lesquelles vous voudrez peut-être avoir un site Web sécurisé et rechercher un certificat SSL valide et gratuit pour votre domaine.
- Performance. SSL peut améliorer le temps de chargement d’une page.
- Optimisation des moteurs de recherche (SEO). L’intention de Google est de faire d’Internet une expérience sûre pour tout le monde, pas seulement pour ceux qui utilisent Google Chrome, Gmail et Drive, par exemple. La société a déclaré que la sécurité serait un facteur dans le classement des sites dans les résultats de recherche. Pour l’instant, c’est petit. Cependant, si vous avez un site Web sécurisé et que vos concurrents ne l’ont pas, votre site Web peut être mieux classé, ce qui peut être l’avantage dont vous avez besoin pour obtenir ce clic à partir de la page de résultats de recherche.
- Confiance. Si votre site Web n’est pas sécurisé et que vous collectez des mots de passe ou des cartes de crédit, les utilisateurs de la version 56 de Chrome (sortie en janvier 2017) verront un avertissement indiquant que le site n’est pas sécurisé (voir capture d’écran ci-dessous). Les visiteurs non avertis (la plupart des utilisateurs du site Web) peuvent être alarmés par cela et quitter votre site simplement parce qu’ils ne comprennent pas ce que cela signifie. En revanche, si votre site est sécurisé, cela pourrait mettre les visiteurs à l’aise, ce qui les rendra plus susceptibles de remplir un formulaire d’inscription ou de laisser un commentaire sur votre site. Google a un plan à long terme pour afficher tous les sites HTTP comme dangereux dans Chrome.
4. Où puis-je obtenir un certificat SSL gratuit?
Obtenez un certificat SSL auprès d’une autorité de certification. Certaines sources gratuites fiables sont:
-
Cryptons: certificats valables 90 jours, renouvellement recommandé après 60 jours
-
Cloudflare: gratuit pour les sites Web personnels et les blogs
-
FreeSSL: gratuit pour les organisations à but non lucratif et les startups en ce moment; ne peut pas être un client Symantec, Thawte, GeoTrust ou RapidSSL
-
StartSSL: certificats valables 1 à 3 ans
-
GoDaddy: Certificats gratuits pour les projets open source, valables 1 an
Le type de certificat et la durée de validité varient en fonction de l’autorité. La plupart des autorités offrent des certificats SSL standard gratuits et facturent les certificats SSL EV, si elles les fournissent. Cloudflare propose des plans gratuits et payants et diverses options de plugins.
5. Que dois-je garder à l’esprit lors de l’obtention d’un certificat SSL?
Google recommande un certificat avec une clé de 2048 bits. Si vous avez déjà un certificat de 1024 bits, ce qui est plus faible, ils recommandent de le mettre à jour.
Vous devrez décider si vous avez besoin d’un certificat unique, multi-domaine ou générique:
- Un seul certificat serait pour un seul domaine (par exemple, www.example.com).
- Un certificat multi-domaine serait pour plusieurs domaines connus (par exemple www.example.com, cdn.example.com, example.co.uk).
- Un certificat générique serait pour un domaine sécurisé avec de nombreux sous-domaines dynamiques (par exemple, a.example.com, b.example.com).
6. Comment installer un certificat SSL?
Votre hébergeur peut installer le certificat gratuitement ou moyennant des frais. Certains hôtes ont en fait une option d’installation Let’s Encrypt dans leur panneau de configuration cPanel, ce qui facilite la tâche vous-même. Demandez à votre hébergeur actuel ou trouvez-en un qui offre une assistance directe avec Let’s Encrypt. Si votre hébergeur ne fournit pas ce service, la société de maintenance de votre site Web ou le développeur peut installer le certificat pour vous.
Vous devez vous attendre à devoir renouveler le certificat de temps en temps. Vérifiez la date limite auprès de l’autorité de certification.
Pour une mise en œuvre plus simple, il vous suffit de vous associer à un fournisseur d’hébergement entièrement géré et il s’occupera de tout pour vous. Un ticket d’assistance rapide et le tour est joué!
7. Que dois-je faire d’autre?
Forcer SSL
Après avoir obtenu et installé le certificat SSL, vous devez forcer SSL sur le site. Encore une fois, vous pouvez demander à votre hébergeur, société de maintenance ou développeur de le faire. Cependant, si vous préférez le faire vous-même et que votre site Web est sur WordPress, vous pouvez le faire en téléchargeant, en installant et en utilisant un plugin.
Lorsque vous utilisez un plugin, assurez-vous de vérifier sa compatibilité avec votre version de WordPress, les révisions et les instructions d’installation. Deux plugins populaires pour appliquer SSL sont:
Assurez-vous de sauvegarder d’abord votre site et soyez très prudent lorsque vous l’exécutez. Si vous configurez quelque chose de mal, cela peut avoir de graves conséquences:
- les visiteurs qui ne peuvent pas voir votre site Web,
- images non montrées,
- les scripts ne se chargent pas, ce qui affecterait le fonctionnement de certaines choses sur votre site,
- La typographie et les couleurs n’apparaissent pas correctement.
Configurer les redirections 301 côté serveur
Vous devez rediriger les utilisateurs et les moteurs de recherche vers les pages HTTPS via des redirections 301 dans le fichier .htaccess dans le dossier racine du serveur. Le fichier .htaccess est un fichier invisible, assurez-vous donc que votre programme FTP est configuré pour afficher les fichiers cachés. Dans FileZilla, par exemple, allez dans Serveur> Forcer l’affichage des fichiers cachés (voir capture d’écran).
Avant d’ajouter les redirections, ce serait une bonne idée de faire une sauvegarde de votre fichier .htaccess. Sur le serveur, renommez temporairement le fichier en supprimant le point (ce qui le rend invisible en premier lieu), téléchargez le fichier (qui sera désormais visible sur votre ordinateur suite à la suppression du point), puis ajoutez à nouveau le point celui du serveur.
Modifier les paramètres de numérisation
Après avoir suivi ces étapes, vous devrez modifier l’URL préférée dans votre compte Google Analytics pour afficher la version HTTPS de votre domaine. Sinon, vos statistiques de trafic seront désactivées car la version HTTP de l’URL ressemble à un site Web complètement différent de la version HTTPS.
Google Search Console traite également HTTP et HTTPS comme des domaines distincts. Veuillez donc ajouter le domaine HTTPS à ce compte.
Notez que lorsque vous passez de HTTP à HTTPS, si les boutons de partage social sont activés sur votre site, le nombre de partages sera réinitialisé.
Mise à jour du contenu
Ebook de sécurité SSL gratuit
(4 pages) La liste de contrôle en 21 étapes pour
Assurer un site WordPress sécurisé à 99,9%
Télécharger
Et c’est ainsi que vous installez un certificat SSL gratuit et valide pour votre domaine et cryptez vos données pour le protéger. Les certificats SSL font partie de l’avenir de la sécurité WordPress, alors procurez-vous le vôtre ou restez dans l’âge de pierre.
EnregistrerEnregistrer
EnregistrerEnregistrer
