Sécuriser son site web avec HTTPS à Paris

C'est la première chose qu'un client regarde sans même s'en rendre compte : la barre d'adresse du navigateur. Un cadenas fermé, une mention « http » qui a disparu au profit de « https » : ces détails paraissent minuscules, mais ils décident en une fraction de seconde si quelqu'un continue à lire une page ou referme l'onglet. Pour un artisan, un cabinet ou un commerce parisien qui vit de son formulaire de contact ou de ses demandes de devis, ce n'est pas de la cosmétique, c'est du chiffre d'affaires.

Ce que HTTPS protège vraiment, et ce qu'il ne garantit pas

Techniquement, HTTPS chiffre la connexion entre le navigateur du visiteur et le serveur qui héberge le site. Concrètement, cela veut dire que si quelqu'un intercepte le trafic sur un Wi-Fi public de café ou de gare, ou même sur une box mal configurée, il ne peut pas lire en clair ce qui transite : les identifiants d'un formulaire de connexion, le contenu d'un message envoyé via un formulaire de contact, les informations saisies dans un panier de commande. Sans HTTPS, ces données circulent en texte brut, lisibles par n'importe quel logiciel d'interception installé sur le même réseau.

Ce que HTTPS ne garantit pas, en revanche, c'est l'honnêteté du site derrière ce cadenas. Un certificat Let's Encrypt est gratuit et délivré automatiquement en quelques minutes à quiconque possède un nom de domaine, sans aucune vérification de l'identité de l'entreprise. Un site de phishing qui imite une banque ou un transporteur affiche donc, lui aussi, un cadenas parfaitement valide. Le cadenas dit « la connexion est chiffrée », il ne dit jamais « ce site est fiable ». J'ai détaillé ailleurs comment reconnaître les vraies arnaques en ligne, notamment celles qui se font passer pour un support technique officiel : le raisonnement est le même, un logo ou une icône rassurante ne prouve jamais une identité.

Pourquoi c'est devenu non négociable en 2026

Chrome, Firefox et Edge affichent désormais un avertissement explicite « Non sécurisé » dès qu'une page en http:// contient un formulaire, et l'alerte devient plus agressive encore si ce formulaire demande un mot de passe ou un numéro de carte. Un visiteur qui voit ce message avant même d'avoir lu votre page part du principe que quelque chose cloche, et referme l'onglet sans chercher à comprendre pourquoi. Google confirme depuis 2014 que HTTPS fait partie de ses signaux de classement ; l'effet reste modeste isolément, mais en 2026 la quasi-totalité des sites concurrents sont déjà sécurisés, donc c'est l'absence de cadenas qui se remarque, pas sa présence.

Le vrai blocage arrive souvent au niveau des outils tiers : les modules de paiement comme Stripe ou PayPal, les widgets de prise de rendez-vous, certains plugins de réservation refusent purement et simplement de se charger sur une page servie en http. Le formulaire de devis reste visible, mais le bouton d'envoi ne fonctionne plus, ou le module de paiement affiche une erreur silencieuse que le propriétaire du site ne découvre que par un client qui se plaint de ne jamais recevoir de réponse.

Obtenir un certificat gratuit avec Let's Encrypt chez OVH, IONOS ou o2switch

Les trois principaux hébergeurs utilisés par mes clients parisiens proposent tous Let's Encrypt gratuitement, intégré directement dans l'espace client. La logique générale est la même partout, même si l'emplacement exact du bouton change d'un hébergeur à l'autre : on se rend dans la section consacrée au domaine ou à l'hébergement web, on cherche une rubrique nommée « Certificats SSL/TLS » ou simplement « SSL », puis on active l'option Let's Encrypt pour le domaine concerné. L'activation prend en général quelques minutes à quelques heures selon l'hébergeur, le temps que le certificat soit généré et que le serveur web recharge sa configuration.

Le vrai avantage de Let's Encrypt, au-delà d'être gratuit, c'est le renouvellement automatique : le certificat est valable 90 jours, et l'hébergeur le régénère lui-même avant expiration tant que le domaine continue de pointer vers ses serveurs. Sur un hébergement mutualisé classique de type cPanel ou Plesk, la fonction équivalente s'appelle souvent AutoSSL et fonctionne sur le même principe. Il n'y a donc, dans la grande majorité des cas, rien à surveiller une fois l'activation faite correctement la première fois.

Les réglages spécifiques à WordPress

WordPress ne bascule pas tout seul en HTTPS au moment où le certificat est activé côté hébergeur. Deux méthodes fonctionnent bien. La première consiste à installer un plugin dédié comme Really Simple SSL, qui détecte le certificat, force les visiteurs vers la version https:// et réécrit automatiquement la plupart des liens internes en base de données. La seconde, plus manuelle, consiste à aller dans Réglages → Général et à remplacer http:// par https:// dans les deux champs « Adresse web (URL) » et « Adresse du site (URL) », puis à enregistrer.

Dans les deux cas, une étape reste indispensable : corriger le contenu mixte. Un site créé il y a plusieurs années contient souvent des images, des logos ou des vidéos intégrées dont l'adresse a été enregistrée en dur avec http:// au moment de la mise en ligne. Une fois le site en https, ces ressources restent bloquées ou signalées comme non sécurisées par le navigateur, même si le reste de la page fonctionne. Un plugin de recherche-remplacement en base de données, ou une commande WP-CLI, permet de corriger ces adresses en une seule passe plutôt que page par page.

La redirection HTTP vers HTTPS : l'étape qu'on oublie

Activer le certificat ne suffit pas à faire disparaître la version http:// du site. Sans redirection explicite, les deux adresses restent accessibles en parallèle : un ancien lien partagé sur les réseaux, une page indexée par Google avant le changement, ou un favori enregistré par un client continuent de pointer vers http:// et affichent toujours l'avertissement « Non sécurisé », comme si rien n'avait changé. C'est exactement ce qui s'est passé chez la commerçante de la rue de Passy : le certificat existait bel et bien, personne n'avait simplement forcé la redirection.

La correction se fait au niveau du serveur, via une règle dans le fichier .htaccess ou une option dédiée dans l'espace d'hébergement, qui redirige automatiquement en 301 toute requête http:// vers la version https:// équivalente. Sans cette étape, tout le travail précédent ne sert à rien pour la moitié des visiteurs qui arrivent encore par l'ancienne adresse, et Google peut indexer les deux versions comme des pages distinctes, ce qui dilue le référencement au lieu de l'améliorer.

HSTS, en une phrase honnête

HSTS indique aux navigateurs de toujours exiger https:// pour votre domaine, même avant la première requête, ce qui ferme une faille supplémentaire, mais si vous l'activez avant d'avoir vérifié que tout fonctionne réellement en HTTPS, une erreur de configuration devient très difficile à corriger rapidement puisque les navigateurs mémorisent cette exigence pendant plusieurs semaines.

Comment vérifier que tout est bien fait

Ouvrez le site en navigation privée pour éviter le cache du navigateur, et vérifiez que le cadenas apparaît sans triangle d'avertissement à côté. En cliquant dessus, le certificat doit correspondre au bon nom de domaine et avoir été émis récemment par Let's Encrypt. Ensuite, appuyez sur F12 pour ouvrir la console du navigateur et rechargez chaque page importante : toute ressource encore chargée en http:// apparaît avec un avertissement « mixed content » dans l'onglet console. Un outil gratuit comme SSL Labs (ssllabs.com/ssltest) donne une note complète de la configuration en quelques minutes. Enfin, tapez volontairement l'ancienne adresse en http:// dans la barre d'adresse : elle doit rediriger automatiquement vers https://, et testez le formulaire de contact ou de devis de bout en bout pour confirmer qu'il part bien.

Ce qui casse souvent après le passage en HTTPS

Le contenu mixte reste le problème le plus fréquent : images, polices ou scripts encore appelés en http:// qui s'affichent barrés ou bloqués selon le navigateur. Vient ensuite la boucle de redirection, souvent signalée « ERR_TOO_MANY_REDIRECTS », qui apparaît quand le plugin WordPress et l'hébergeur forcent tous les deux une redirection avec des règles contradictoires. Google Search Console demande aussi une nouvelle propriété pour la version https:// du site, avec un nouveau sitemap à soumettre, sans quoi le suivi du référencement se retrouve coupé en deux. Les widgets tiers, comme un module de réservation ou un chat en ligne dont le code d'intégration a été copié il y a longtemps avec une adresse en http:// codée en dur, cessent parfois de se charger silencieusement. Et pendant les premières heures après le changement, il n'est pas rare qu'un client signale une erreur de certificat sur mobile, le temps que le nouveau certificat se propage complètement.

Combien ça coûte si vous le faites faire

Le certificat lui-même ne coûte jamais rien, Let's Encrypt est gratuit chez tous les hébergeurs sérieux. Ce qui se facture, c'est le temps de mise en place et de vérification. Sur un site WordPress récent et bien structuré, compter entre 60 et 100 € pour l'activation, la redirection et la correction du contenu mixte. Sur un site plus ancien, avec des adresses codées en dur dans de nombreuses pages ou un thème sur mesure, le tarif monte plutôt entre 120 et 200 €, temps de vérification page par page inclus. Cette mise en conformité fait aussi partie de ce que je vérifie systématiquement dans un contrat de maintenance de site web à Paris, pour éviter justement qu'un certificat n'expire ou qu'une redirection ne se casse sans que personne ne s'en aperçoive. Pour un site tout neuf, HTTPS doit être prévu dès le départ dans le cadre d'une création de site internet à Paris plutôt que corrigé après coup. Et si le site est de toute façon vieillissant sur d'autres points, la refonte de site web à Paris permet de régler HTTPS en même temps que le reste au lieu de rafistoler un code ancien ; je détaille d'ailleurs dans un autre article quand il vaut mieux refaire un site existant plutôt que le corriger morceau par morceau.

Questions fréquentes sur HTTPS et la sécurité d'un site web

Le certificat SSL Let's Encrypt est-il vraiment gratuit ?

Oui, complètement gratuit et renouvelé automatiquement tous les 90 jours chez la plupart des hébergeurs français comme OVH, IONOS ou o2switch. Le seul coût réel est le temps d'installation et de vérification, surtout sur un site existant qui a du contenu mixte à corriger.

Le cadenas dans le navigateur veut-il dire que le site est fiable ?

Non. HTTPS garantit que la connexion entre le navigateur et le serveur est chiffrée, pas que le site ou son propriétaire sont honnêtes. Les certificats Let's Encrypt sont automatiques et gratuits, donc des sites d'arnaque ou de phishing affichent eux aussi un cadenas parfaitement valide.

Comment savoir si mon site a un problème de contenu mixte ?

Ouvrez la page en navigation privée, appuyez sur F12 pour ouvrir la console du navigateur, puis rechargez : les ressources encore chargées en http:// apparaissent avec un avertissement « mixed content ». Un outil gratuit comme SSL Labs permet aussi de vérifier toute la configuration du certificat en une fois.

Faut-il activer HSTS tout de suite après le passage en HTTPS ?

Non. Attendez d'avoir vérifié que toutes les pages, formulaires et ressources fonctionnent correctement en HTTPS, car HSTS force les navigateurs à mémoriser cette préférence pendant plusieurs semaines : une erreur de configuration devient alors difficile à corriger rapidement.

Vous voulez qu'on vérifie ensemble si votre site est vraiment sécurisé en HTTPS, sans contenu mixte ni redirection oubliée ? Appelez-moi ou écrivez-moi au 07 66 84 52 57, par téléphone ou WhatsApp. Je regarde votre site en direct et je vous dis exactement ce qui doit être corrigé.