🔍 Audit·7 min read

Cadenas SSL : pourquoi votre site web doit être en HTTPS en 2026 (et comment vérifier en 2 min)

Pourquoi le HTTPS est devenu obligatoire pour toute PME en 2026, ce que vérifie vraiment un audit SSL, et comment tester votre site en 2 minutes.

Aude
Audit technique & conformité · published on April 25, 2026

TL;DR

En 2026, un site sans HTTPS est marqué « Non sécurisé » dans tous les navigateurs et déclassé par Google. Mais avoir le cadenas ne suffit pas : un certificat expiré, un protocole obsolète ou un mauvais score Mozilla peuvent bloquer vos visiteurs. Voici ce que vérifie un vrai audit SSL et comment tester votre site en 2 minutes.

Le HTTPS n''est plus une option en 2026

Depuis 2018 déjà, Google Chrome affiche « Non sécurisé » sur tout site qui n''est pas en HTTPS. En 2026, la situation est encore plus stricte : Chrome, Safari et Firefox bloquent ou avertissent l''utilisateur sur les certificats faibles, expirés, ou utilisant des protocoles obsolètes (TLS 1.0 et 1.1).

Concrètement, si vous avez un site vitrine ou e-commerce sans HTTPS valide en 2026, voici ce qu''il se passe :

  • Vos visiteurs voient un gros message rouge avant d''accéder à la page (taux de rebond +60 %)
  • Google déclasse votre site dans les résultats de recherche (le HTTPS est un facteur de ranking confirmé)
  • Les formulaires de contact, paiement et connexion ne fonctionnent plus dans la plupart des navigateurs récents
  • Les outils tiers (analytics, CRM, paiement) refusent d''envoyer des données vers un site non chiffré

Le HTTPS n''est plus un sujet "sécurité avancée". C''est une condition de base pour qu''un site existe sur le web.

Le cadenas vert ne veut pas dire « tout va bien »

C''est l''erreur classique : on voit le cadenas, on se dit que c''est bon. Or un cadenas indique seulement que la communication est chiffrée — pas que le chiffrement est de qualité, ni que le certificat est encore valide.

Un audit SSL sérieux vérifie au moins ces points :

  • La validité du certificat : non expiré, émis par une autorité reconnue (Let''s Encrypt, DigiCert, Sectigo…), couvre bien le domaine et les sous-domaines
  • Le protocole TLS : seulement TLS 1.2 et 1.3 acceptés. TLS 1.0 et 1.1 sont compromis et désactivés par les navigateurs récents
  • Les suites cryptographiques : pas de RC4, pas de 3DES, pas de RSA en échange de clé sans Forward Secrecy
  • La configuration du serveur : redirection HTTP → HTTPS, en-tête Strict-Transport-Security (HSTS), pas de contenu mixte
  • La chaîne de certification complète : tous les certificats intermédiaires sont servis (sinon certains clients mobiles cassent)

L''audit gratuit CyberTool vérifie l''ensemble de ces points en 5 secondes et vous donne une note de A à F, avec les actions concrètes à mettre en place.

Les 3 erreurs SSL qu''on voit le plus souvent chez les PME

Sur des centaines de sites de PME audités, voici le top 3 des erreurs récurrentes — et toutes sont gratuites à corriger.

1. Le certificat oublié qui expire

Let''s Encrypt délivre des certificats gratuits valables 90 jours, censés se renouveler automatiquement. Sauf que le script de renouvellement est parfois cassé (changement de version PHP, migration de serveur, droit fichier modifié). Résultat : un matin, le site affiche NET::ERR_CERT_DATE_INVALID et plus personne ne peut commander.

Action : mettez en place une alerte qui vous prévient 30 jours avant l''expiration. C''est exactement ce que fait CyberTool dans son scanner SSL.

2. Pas de redirection HTTP → HTTPS

L''utilisateur tape mon-site.fr dans Google. Le navigateur essaie d''abord HTTP. Si le site répond en HTTP avec un OK 200 (au lieu de rediriger vers HTTPS), le visiteur reste sur la version non chiffrée. Vos visiteurs continuent à utiliser HTTP sans le savoir.

Action : dans votre serveur web (Apache, Nginx, Caddy), forcer la redirection HTTP → HTTPS au niveau de la configuration, pas au niveau de l''application.

3. L''en-tête HSTS absent

L''en-tête Strict-Transport-Security dit au navigateur « ne reviens jamais sur HTTP pour ce domaine, même si l''utilisateur tape l''URL ». Sans HSTS, un attaquant en position d''homme du milieu (Wi-Fi public, captive portal) peut downgrader la connexion.

Action : ajouter Strict-Transport-Security: max-age=63072000; includeSubDomains; preload dans la réponse de votre serveur.

Comment tester votre site en 2 minutes

Trois outils gratuits, dans l''ordre du plus simple au plus complet :

  1. [CyberTool /#audit](/#audit) : tapez votre domaine, score sur 100 en 5 secondes, avec les corrections en français vulgarisé. Idéal pour partager le rapport avec votre équipe ou votre direction.
  2. [SSL Labs / Qualys](https://www.ssllabs.com/ssltest/) : la référence technique. Note de A+ à F, détail complet des suites cryptographiques. Plutôt pour un développeur ou un MSP.
  3. [Mozilla Observatory](https://observatory.mozilla.org/) : audit large qui inclut SSL, en-têtes HTTP, contenus mixtes. Bon pour un audit complet en 1 fois.

Et si vous gérez plusieurs sites pour des clients ?

Pour un MSP ou une agence cyber qui pilote 10-50 sites de PME, vérifier manuellement chaque mois devient ingérable. Deux approches qui fonctionnent :

  • Centraliser dans un cockpit : le dashboard CyberTool regroupe tous les sites de vos clients, scan automatique chaque semaine, alerte 30 jours avant expiration. Vous savez en un coup d''œil quels clients ont besoin d''attention ce mois-ci.
  • Automatiser le renouvellement : si vos clients sont chez OVH, Hetzner ou un cloud sérieux, configurer Let''s Encrypt avec certbot en mode auto-renew. Vérifier une fois par trimestre que tout tourne bien (et ne pas découvrir le problème quand le certificat expire un dimanche soir).

Frequently asked questions

Pourquoi mon site doit-il être en HTTPS en 2026 ?

Trois raisons concrètes : 1) Tous les navigateurs récents (Chrome, Safari, Firefox) marquent les sites HTTP comme « Non sécurisé » avec un avertissement rouge qui fait fuir les visiteurs. 2) Google déclasse les sites HTTP dans son moteur de recherche depuis 2018, et l''écart s''est creusé. 3) De nombreuses fonctionnalités modernes (PWA, géolocalisation, WebRTC, accès caméra) ne marchent qu''en HTTPS. Sans HTTPS en 2026, votre site est techniquement et commercialement invisible.

Comment savoir si mon certificat SSL est correctement configuré ?

Trois outils gratuits couvrent l''essentiel : l''audit CyberTool (cybertool.fr/#audit) donne un score sur 100 avec corrections en français en 5 secondes ; SSL Labs Qualys (ssllabs.com/ssltest) donne le détail technique complet ; Mozilla Observatory teste aussi les en-têtes HTTP. Si vous obtenez moins de A sur SSL Labs, votre configuration est obsolète. Les erreurs les plus fréquentes sont un certificat expiré, des protocoles TLS 1.0/1.1 encore activés, ou l''absence de redirection HTTP vers HTTPS.

Combien coûte un certificat SSL pour un site de PME ?

Zéro euro avec Let''s Encrypt, qui couvre 100 % des besoins d''un site vitrine ou e-commerce de PME. Les certificats payants (DigiCert, Sectigo, GlobalSign à partir de 50€/an) n''offrent pas plus de chiffrement — ils ajoutent juste une assurance financière en cas de fraude liée au certificat (intéressant pour une banque, pas pour une PME). Si votre prestataire vous propose un certificat à 200€/an « pour la sécurité », il vend du vent. Let''s Encrypt avec auto-renouvellement est le standard professionnel.

Que faire si mon certificat SSL a expiré ?

Renouvelez-le immédiatement et corrigez la cause du non-renouvellement automatique. Pour un site sous Let''s Encrypt, lancez `certbot renew` sur le serveur ou contactez votre hébergeur. Pendant la durée d''expiration, vos visiteurs voient un écran rouge et la plupart abandonnent — chaque heure compte. Une fois le site rétabli, mettez en place une alerte qui vous prévient 30 jours avant la prochaine expiration. CyberTool envoie automatiquement ces alertes à tous les sites de votre dashboard.

TLS 1.2 ou TLS 1.3 : lequel choisir pour mon serveur ?

Activez les deux et désactivez tout le reste. TLS 1.3 (sorti en 2018) est plus rapide et plus sûr, mais quelques clients très anciens ne le supportent pas — d''où le maintien de TLS 1.2 en parallèle. TLS 1.0 et 1.1 doivent être totalement désactivés depuis 2020 : ils ont des failles cryptographiques connues et les navigateurs récents refusent de s''y connecter. Sur Apache, Nginx ou Caddy, c''est une seule ligne de configuration à changer.

Related reading