Que signifie « certificat SSL » ?

Aujourd'hui, un certificat SSL est techniquement un certificat TLS : il associe une clé publique à un domaine et permet au navigateur d'authentifier le serveur web lors de l'établissement d'une connexion HTTPS chiffrée. Le terme « SSL » est obsolète ; les sites web modernes utilisent le protocole TLS pour le chiffrement du transport.

Ces termes ont des significations différentes : HTTPS désigne la connexion HTTP sécurisée, TLS est le protocole de sécurité et le certificat sert à l’authentification. Un certificat communément appelé certificat HTTPS ne chiffre pas la connexion à lui seul. Seule la combinaison de TLS, du certificat et d’une configuration serveur sécurisée protège les données transmises.

Un certificat SSL confirme le domaine pour lequel une clé publique peut être utilisée. TLS utilise cette information pour authentifier le serveur et établir une connexion HTTPS chiffrée.

Qu'est-ce qu'un certificat SSL ?

Un certificat SSL est un fichier signé numériquement qui associe une clé publique à un domaine et, éventuellement, à une organisation vérifiée. Les certificats reconnus publiquement sont délivrés par une autorité de certification (AC).

La paire de clés comprend également une clé privée . Cette clé privée reste protégée sur le serveur et ne doit être ni publiée ni partagée sans autorisation. Si la clé privée est compromise, l'opérateur doit remplacer le certificat SSL concerné et, le cas échéant, le faire révoquer.

Bien que le chiffrement SSL soit encore fréquemment mentionné, les normes SSL 2.0 et SSL 3.0 sont techniquement obsolètes. L'IETF interdit également la négociation de TLS 1.0 et TLS 1.1 dans la RFC 9325. Les implémentations sécurisées doivent prendre en charge au moins TLS 1.2 et privilégier TLS 1.3.

Comment fonctionne un certificat SSL avec HTTPS ?

Lors de l'établissement d'une connexion HTTPS, le navigateur vérifie le certificat SSL et négocie des clés de session cryptographiques avec le serveur web. En tant qu'exploitant du site web, il est essentiel que le domaine, la période de validité, la chaîne de certificats et la configuration du serveur soient compatibles.

1. Le navigateur accède à l'adresse HTTPS. Le serveur web transmet son certificat serveur et les certificats intermédiaires requis.
2. Le navigateur vérifie le domaine. Le nom de domaine demandé doit figurer dans le certificat SSL.
3. Le navigateur vérifie la date d'expiration. Le certificat doit être valide au moment de la demande.
4. Le navigateur vérifie la chaîne de certificats. Le certificat du serveur doit être traçable jusqu'à un certificat racine de confiance via un ou plusieurs certificats intermédiaires.
5. Les navigateurs et les serveurs établissent des clés de session. Le protocole TLS authentifie le serveur à l'aide du certificat et protège les transmissions de données ultérieures grâce à un chiffrement symétrique.
6. Le site web est chargé via HTTPS. Les données transmises, qu'il s'agisse du contenu ou des formulaires, sont protégées contre toute lecture facile et toute modification non détectée pendant le transport.

Le chiffrement du transport protège la transmission des données entre le navigateur et le serveur. Cependant, un certificat SSL ne garantit en rien la sécurité du stockage, du traitement ou du transfert des données vers d'autres systèmes sur le serveur.

La chaîne de certificats d'un certificat SSL

Les navigateurs ne font généralement pas confiance à un certificat de serveur pris isolément. La confiance est établie par une chaîne de certificats composée de trois niveaux :

• Certificat du serveur : Le certificat SSL spécifique à votre domaine ou à plusieurs domaines enregistrés.
• Certificat provisoire : Un certificat signé par une autorité de certification de niveau supérieur, que cette dernière utilise pour émettre des certificats de serveur.
• Certificat racine : Le principal point d'ancrage de confiance, qui est stocké dans le système d'exploitation ou le navigateur.

Le serveur web doit fournir correctement les certificats intermédiaires requis, en plus du certificat serveur. Si un certificat intermédiaire est manquant, les navigateurs ou appareils peuvent afficher un avertissement de certificat, même si le certificat serveur est valide.

Types de validation pour les certificats SSL

La validation de domaine (DV), la validation d'organisation (OV) et la validation étendue (EV) désignent différentes procédures de vérification utilisées par l'autorité de certification. Le type de validation détermine les informations vérifiées avant l'émission d'un certificat SSL. Il n'influe pas automatiquement sur la robustesse du chiffrement de transport.

• Validation du domaine : Lors de la validation d'un domaine, le demandeur prouve qu'il en est le propriétaire. Cette preuve peut être apportée, par exemple, par un enregistrement DNS ou un fichier d'audit technique.
• Validation de l'organisation : Lors de la validation de l'organisation, l'autorité de certification vérifie également les informations relatives à l'organisation, telles que le nom de l'entreprise et son adresse commerciale.
• Validation étendue : Dans le cadre d'une validation étendue, l'autorité de certification vérifie l'identité légale de l'opérateur selon des exigences normalisées plus étendues.

Un certificat OV ou EV payant ne constitue pas un gage de qualité absolu pour un site web. Un certificat DV peut prendre en charge les mêmes protocoles TLS et méthodes de chiffrement modernes qu'un certificat OV ou EV. La différence réside dans l'étendue de la vérification d'identité.

Durée et renouvellement automatique d'un certificat SSL

Chaque certificat SSL possède une date d'expiration fixe. Passé ce délai, les navigateurs affichent un avertissement de sécurité ou restreignent l'accès. Les interfaces, les formulaires et les services connectés peuvent également refuser la connexion.

Les certificats TLS de serveur de confiance publique doivent avoir une durée de validité limitée. Conformément aux exigences de base du CA/Browser Forum, la durée de validité maximale des certificats émis entre le 15 mars 2026 et le 14 mars 2027 est de 200 jours. À compter du 15 mars 2027, cette limite passe à 100 jours, puis à 47 jours à compter du 15 mars 2029.

Let's Encrypt délivre par défaut des certificats d'une durée de validité de 90 jours et propose également des certificats d'une durée de validité de six jours. Les courtes durées de validité limitent les conséquences d'une compromission des clés et favorisent la gestion automatisée des certificats.

Pour un site web d'entreprise, le renouvellement automatique devrait donc être la norme. De plus, le certificat SSL nécessite une surveillance indépendante de son expiration. L'automatisation consiste à exécuter des tâches récurrentes et des processus basés sur des règles par des logiciels, des systèmes ou des machines, garantissant ainsi la continuité d'un processus sans intervention manuelle constante. [ Cliquez pour en savoir plus] Ce processus peut échouer, par exemple, suite à un changement d'hébergement, une modification de la configuration DNS ou en raison de droits d'accès insuffisants.

Dans mon travail avec les PME, le problème principal réside rarement dans l'émission du certificat. La difficulté majeure concerne son fonctionnement continu : les dates d'expiration ne sont pas surveillées, les renouvellements échouent, ou après une refonte, toutes les variantes de domaine ne sont pas correctement redirigées vers HTTPS. C'est pourquoi, lors de la conception et du développement de nos sites web, nous considérons la gestion des certificats SSL comme un processus opérationnel récurrent.

Certificat générique et domaines multiples

Un certificat générique couvre plusieurs sous-domaines d'un domaine. Un certificat SSL pour *.example.it peut, par exemple, être valide pour shop.example.it et portal.example.it. Le domaine principal, example.it, n'est pas inclus automatiquement et doit être ajouté séparément si nécessaire.

Un certificat serveur peut également contenir plusieurs noms de domaine spécifiques. Cette option convient, par exemple, pour un domaine principal, des domaines linguistiques supplémentaires et des sous-domaines sélectionnés. La solution appropriée dépend de l'architecture du système, du nombre de domaines et des responsabilités liées aux clés privées.

Avertissements typiques concernant un certificat SSL

Un avertissement du navigateur ne prouve pas automatiquement une attaque. Toutefois, cet avertissement signifie que le navigateur ne peut pas confirmer avec certitude l'identité ou la validité du serveur web. Il ne faut donc pas ignorer ce message.

• Le certificat SSL a expiré : Le renouvellement automatique a échoué ou le nouveau certificat n'a pas été activé.
• Le nom de domaine est incorrect : Le domaine demandé n'est pas inclus dans le certificat.
• La chaîne de certificats est incomplète : Un certificat intermédiaire requis est manquant sur le serveur.
• L'autorité de certification n'est pas digne de confiance : Le certificat racine n'est pas stocké comme ancre de confiance dans le navigateur ou le système d'exploitation.
• Le certificat n'est pas encore valide : La période de validité commence plus tard, ou l'heure système de l'appareil est incorrecte.
• La clé privée ne convient pas : Suite à une installation défectueuse, le certificat et la clé privée ne font plus partie de la même paire de clés.

Les journaux de serveur peuvent également s'avérer utiles en cas de problèmes techniques. L'article consacré aux journaux de serveur pour les PME explique quelles informations les serveurs web collectent et comment identifier systématiquement les erreurs.

Comment intégrer correctement un certificat SSL à un site web

L'installation du certificat n'est que la première étape. L'intégralité du site web doit être accessible en permanence via HTTPS et ne doit proposer aucune version HTTP parallèle.

• Configurer la redirection HTTP : Toutes les requêtes HTTP doivent être redirigées en permanence vers l'adresse HTTPS correspondante. Les chemins et les paramètres doivent être conservés.
• Vérifier les variantes de domaine : Ceci s'applique aux domaines avec et sans « www », ainsi qu'aux langues et aux sous-domaines.
• Mise à jour des références internes : La navigation, les images, les téléchargements, les scripts et les interfaces doivent pointer directement vers des adresses HTTPS.
• Éliminer le contenu mixte : Une page HTTPS ne doit pas charger d'images, de polices, de scripts ou de feuilles de style non chiffrés via HTTP.
• Surveiller le renouvellement : Les processus automatisés nécessitent des messages d'erreur, des contacts responsables et une procédure de sauvegarde documentée.
• Modifications apportées aux tests : Les modifications d'hébergement, les modifications DNS, les nouveaux sous-domaines et les relancements peuvent affecter la configuration d'un certificat fonctionnel.

Pour les sites web à croissance organique, un inventaire complet des domaines, des médias et des dépendances techniques est utile. Cet inventaire permet de repérer les ressources HTTP obsolètes et les variantes de domaine oubliées avant une refonte.

Ce qu'un certificat SSL ne peut pas faire

Le protocole HTTPS est indispensable à la sécurité des sites web modernes, mais ne constitue pas une solution de sécurité complète. Un certificat SSL valide ne protège pas contre les logiciels malveillants, les mots de passe faibles, les logiciels obsolètes, les droits d'accès incorrects ni les failles de sécurité des extensions et des interfaces.

Le chiffrement du trafic de transmission n'est qu'une des mesures techniques de protection des données. Le protocole HTTPS ne garantit pas automatiquement la conformité d'un site web à la réglementation sur la protection des données. D'autres facteurs importants entrent en jeu, tels que la minimisation des données, les bases légales, les durées de conservation, les services externes, les contrôles d'accès et le traitement des données personnelles. L'article « Protection des données dès la conception pour les PME » explique comment la protection des données protège les données personnelles des personnes physiques contre le traitement illicite, l'utilisation abusive et la perte de contrôle. La protection des données pour les PME signifie donc : vous décidez consciemment des données que vous collectez… Cliquez pour en savoir plus

Le protocole HTTPS protège les données lors de leur transmission. La sécurité et la protection des données d'un site web doivent également prendre en compte l'application, le serveur, les données stockées et les processus organisationnels.

Liste de vérification pour votre certificat SSL

• Le serveur prend en charge au moins TLS 1.2 et de préférence TLS 1.3.
• Le certificat SSL est valable pour tous les domaines effectivement utilisés.
• Le serveur fournit la chaîne de certificats complète.
• Le renouvellement automatique est configuré, testé et surveillé.
• Les requêtes HTTP sont redirigées en permanence vers HTTPS.
• Les liens internes, les images, les scripts et les fichiers de polices ne génèrent pas de trafic mixte. ContenuLe terme « contenu » englobe tout contenu numérique publié intentionnellement sur des sites web, des boutiques en ligne, les réseaux sociaux, les newsletters et autres plateformes numériques. Pour en savoir plus… Cliquez pour en savoir plus.
• Les clés privées sont stockées en toute sécurité et remplacées en cas de compromission.
• Les responsabilités liées aux avertissements et aux pannes de certificats sont documentées.

Questions et réponses concernant le certificat SSL

Combien coûte un certificat SSL ?

Un certificat DV peut être obtenu gratuitement via Let's Encrypt, par exemple. Des frais peuvent toutefois s'appliquer pour l'hébergement, la configuration, la surveillance et la maintenance. Les certificats OV ou EV payants incluent une vérification d'identité supplémentaire, mais n'offrent pas automatiquement un chiffrement plus robuste.

Quelle est la durée de validité d'un certificat TLS ?

La durée de validité dépend de l'autorité de certification et du type de certificat, et est limitée par la réglementation du secteur. Les durées de validité maximales autorisées diminuant, il est recommandé de renouveler automatiquement votre certificat SSL et de surveiller sa date d'expiration.

Que se passe-t-il lorsqu'un certificat SSL expire ?

Les navigateurs peuvent afficher un avertissement de sécurité et restreindre l'accès. Les interfaces, les services de paiement et autres systèmes automatisés peuvent refuser la connexion jusqu'à l'installation d'un certificat valide.

Ai-je besoin d'un certificat distinct pour chaque sous-domaine ?

Pas nécessairement. Un certificat générique peut couvrir plusieurs sous-domaines d'un même domaine. En revanche, un certificat multidomaine peut regrouper des domaines spécifiques. La solution appropriée dépend de votre infrastructure technique et des personnes autorisées à accéder à la clé privée.

Pourquoi mon site web a-t-il besoin d'une redirection HTTP ?

La redirection HTTP dirige automatiquement les requêtes non chiffrées vers l'adresse HTTPS correspondante. Cela empêche la création de versions parallèles de la même page et garantit aux visiteurs l'accès à la version sécurisée du site web.

Que signifie « contenu mixte » ?

Le contenu mixte se produit lorsqu'une page HTTPS charge individuellement des images, des polices, des scripts ou d'autres fichiers via HTTP. Les navigateurs peuvent bloquer ces ressources ou afficher des avertissements. Par conséquent, tous les éléments de la page doivent être chargés via HTTPS.

Le symbole du cadenas signifie-t-il qu'un site web est digne de confiance ?

Ce symbole confirme une connexion techniquement sécurisée au domaine spécifié. Il n'évalue ni la fiabilité du fournisseur, ni la qualité du contenu, ni la sécurité de l'application, ni la conformité du site web à la réglementation sur la protection des données.

Un certificat EV est-il plus sûr qu'un certificat DV ?

Un certificat EV inclut une vérification d'identité plus poussée de l'opérateur. Cependant, le niveau de chiffrement peut être identique pour les certificats DV, OV et EV si les mêmes protocoles TLS et méthodes cryptographiques sont utilisés.

Le protocole HTTPS est-il suffisant pour un site web sécurisé et conforme aux normes de confidentialité ?

Non. Le protocole HTTPS protège principalement la transmission des données entre le navigateur et le serveur. Un site web sécurisé et respectueux de la vie privée nécessite également un logiciel bien maintenu, un accès sécurisé, des autorisations appropriées, la minimisation des données et des processus organisationnels clairs.

Sources

1. IETF RFC 9325 : Recommandations pour une utilisation sécurisée de TLS et DTLS — ietf.org (2022)
2. Exigences de base pour les certificats de serveur TLS de confiance publique — cabforum.org (2026)
3. Durée de vie des certificats : justification et plans — letsencrypt.org (2026)
4. Information destinée au public : Types de certificats SSL — cabforum.org