Tout le monde connaît les acronymes HTTP et HTTPS, que l’on retrouve au début de toute URL, mais que désignent-ils ? Quelle différence existe-t-il entre ces deux protocoles ? Pourquoi privilégier le HTTPS ? Comment installer un certificat SSL et passer son site WordPress du HTTP en HTTPS pour le sécuriser ? WP Trigone fait le point sur les protocoles de transfert hypertexte et le SSL WordPress pour vous aider à protéger les données de vos internautes !
Pourquoi installer un certificat SSL WordPress pour passer son site en HTTPS ?
Avant de vous expliquer pourquoi il est impératif de passer votre site WordPress ou WooCommerce en HTTPS, faisons le point sur quelques notions clés : HTTP, HTTPS et SSL. Concrètement, ces acronymes font référence à des normes de sécurité. Vous comprendrez ainsi très vite pourquoi il est essentiel de mettre votre site en conformité !
Comprendre la différence entre HTTP et HTTPS
Les acronymes HTTP et HTTPS désignent des protocoles de transfert hypertexte. Concrètement, ils permettent aux données d’une page web de s’afficher sur l’écran de l’internaute qui envoie une requête. Ils permettent aux serveurs (qui hébergent les sites web) et aux navigateurs (qui permettent de les lire) de communiquer.
- HTTP (HyperText Transfer Protocol) est un protocole de communication client-serveur qui affiche les URLs à chaque fois qu’une requête le demande, sans s’assurer que ces informations communiquent de façon sécurisée et cryptée.
- HTTPS (HyperText Transfer Protocol Secure) est une évolution du protocole HTTP. Le protocole SSL (Secure Sockets Layer) avec lequel il fonctionne permet d’établir une connexion chiffrée. Les données que l’internaute entre sur un site ayant un protocole HTTPS sont cryptées. Ainsi, elles sont protégées contre le piratage et l’espionnage.
En passant votre site en HTTPS, vous protégez les données des internautes qui consultent votre site (coordonnées, identifiants, mots de passe, formulaires, RIB, etc.).
Comprendre ce qu’est un certificat SSL
SSL (Secure Sockets Layer) est un protocole qui vise à sécuriser les échanges par réseau informatique, et notamment par Internet. Concrètement, ce protocole permet d’établir une connexion sécurisée entre un site web et un navigateur, ce qui est indispensable pour protéger les données et informations personnelles des internautes. Lorsqu’un site web est sécurisé par un certificat SSL, chacune de ses URLs commence par HTTPS.
Ce protocole concerne l’intégralité des sites WordPress, mais différents certificats SSL existent. Un peu plus bas dans cet article, nous vous aiderons à choisir un certificat SSL performant pour sécuriser votre site WordPress ou WooCommerce.
Comprendre quelles sont les différences entre SSL et TLS
Le protocole TLS (Transport Layer Security) est une version plus récente du protocole de chiffrement SSL (Secure Sockets Layer), qui corrige certaines vulnérabilités de sécurité. Cependant, vous ne devriez pas vous en soucier. Les hébergeurs doivent désormais configurer leurs serveurs avec des protocoles TLS à jour et sécurisés, et les certificats SSL actuels sont en réalité des certificats TLS. On continue simplement à les désigner comme des certificats SSL pour simplifier les choses en conservant une dénomination connue.
Pour savoir si votre hébergement WordPress est bien avec la dernière version TLS (1.3 depuis 2018), vous pouvez tester sur ce site directement : https://www.cdn77.com/tls-test
Comprendre quelles sont les risques et pénalités liés au protocole HTTP
Comprendre quels risques présente un site en HTTP pour les internautes
Aujourd’hui, passer son site web en HTTPS n’est même plus une option. C’est une mesure de sécurité indispensable pour protéger les données de vos internautes. Pourtant, quelques récalcitrants n’ont toujours pas sauté le pas et Google le sait et évitera de mettre en avant les sites non sécurisés !
Il vous est certainement déjà arrivé de chercher à visiter un site web, mais de recevoir un avertissement de votre navigateur vous expliquant que ce site n’était pas sécurisé, ou même de vous abstenir de commander des produits sur une boutique en ligne ne disposant pas du précieux cadenas devant son URL. Les entreprises derrière ces sites étaient peut-être tout à fait honnêtes, mais vous n’avez pas voulu prendre le risque de partager vos données avec, et vous avez bien fait !
Comprendre quelles sont les pénalités qu’encourt un site WordPress en HTTP
Concrètement, voici les risques auxquels vous vous exposez avec un site en HTTP.
- La plupart des navigateurs empêchent désormais les internautes d’accéder à des sites en HTTP, ou leur demandent d’accepter les risques encourus. Cela dégrade tout le travail de référencement naturel (SEO) effectué pour améliorer la visibilité de ce site. À juste titre, les moteurs de recherche comme Google mettent en avant les sites web sécurisés, ayant un certificat SSL d’actualité.
- Si les internautes parviennent malgré tout à accéder à un site en HTTP, un triangle d’avertissement suivi de la mention « non sécurisé » s’affiche devant l’URL. S’ils se risquent à effectuer un achat sur un site e-commerce en HTTP, des pirates pourraient lire et même modifier leurs informations bancaires, ainsi que leurs coordonnées.
- Les internautes risquent de fuir, en gardant une mauvaise image du site web concerné et de l’entreprise associée. Vous perdez alors des ventes, et la réputation de votre entreprise se dégrade.
- Si le site en question demande des informations de paiement, il ne respecte alors pas la norme PCI DSS (Payment Card Industry Data Security).
Bref, il n’existe aucune bonne raison de refuser de passer son site en HTTPS !
Comment installer un certificat SSL WordPress ?
Vous l’avez compris, passer son site en HTTPS est indispensable pour le sécuriser, mais aussi pour inspirer confiance aux moteurs de recherches, navigateurs et internautes ! Alors, comment configurer un certificat SSL sur votre site WordPress pour le passer en HTTPS et afficher le précieux cadenas devant ses URLs ?
Bien choisir son certificat SSL pour WordPress
Avant toute chose, soyez conscient que tous les certificats SSL ne se valent pas. Certains n’accordent que le strict minimum en matière de sécurité, alors choisissez le vôtre correctement ! Pour un petit site vitrine, un certificat SSL simple devrait suffire. Si vous disposez d’un site WooCommerce, il faudra vous montrer particulièrement vigilant. Voici quels sont les critères à prendre en compte et à partager avec votre prestataire pour choisir le certificat SSL le plus adapté à vos besoins.
- S’agit-il d’un site personnel ou professionnel ?
- Disposez-vous d’un seul domaine, ou de plusieurs domaines et/ou sous-domaines ?
- Disposez-vous d’une boutique WooCommerce, ou uniquement d’un site vitrine WordPress ?
Pour un petit site vitrine avec domaine unique, un certificat Let’s Encrypt gratuit sera souvent suffisant. Et quoi qu’il en soit, mieux vaut un certificat SSL gratuit minimaliste qu’un site en HTTP. Mais si votre site présente des complexités (plusieurs domaines, des sous-domaines, une boutique en ligne, etc.), il serait plus prudent de demander conseil à des spécialistes de l’hébergement et de la maintenance de sites WordPress et WooCommerce, comme les experts de l’équipe WP Trigone.
Installer son certificat SSL sur WordPress
Le meilleur moyen est de demander un certificat SSL à votre hébergeur. Il est parfois inclus dans votre hébergement. Dans d’autres cas, il faudra le payer en supplément.
Installer un certificat SSL est une opération technique. Nous vous invitons à vous tourner vers votre hébergeur ou vers un webmaster aguerri pour se charger de cette mission. Normalement, la société qui vous délivrera ce certificat numérique s’occupera de son installation. La perte de temps et la prise de risques qu’impliquerait une installation autonome vous coûteraient certainement beaucoup plus que le montant demandé par un professionnel.
Installer un certificat SSL gratuit pour son site WordPress
Tous les hébergeurs le propose ! Que cela soit chez OVH, Gandi, Ionos et autres, vous avez à disposition Let’s Encrypt qui offre des certificats SSL gratuitement. Ce certificat est très bien pour la grande majorité des sites, vous pouvez l’installer sans aucun souci pour votre site WordPress.
Depuis l’interface de votre hébergeur, vous avez logiquement un endroit pour l’activer gratuitement ou bien demandez au support de vous le faire, et vous aurez un site en HTTPS sécurisé en quelques minutes.
Installer un certificat SSL payant pour son site WordPress
Il est existe un bon nombre de sociétés qui proposent des certificats SSL de leur « savoir-faire ». Les prix peuvent aller d’une centaine euro à plusieurs centaines d’euros par mois. Les différences sont les garanties liées à cette protection et à la sécurité. En général, il y a que les grosses sociétés dans des secteurs sensibles qui prennent ce type de certificat.
Faire des redirections 301 de vos URLs en HTTP vers HTTPS
Lorsque vous disposez de votre certificat SSL, et que vous l’avez activé chez votre hébergeur (ou qu’il l’a fait pour vous), il est temps de faire des redirections 301 de toutes vos URLs en HTTP vers HTTPS. Cette manœuvre est très simple ! Vous pouvez le faire en quelques clics directement depuis votre tableau de bord WordPress, ou en utilisant une extension fiable.
- L’option de migration de HTTP vers HTTPS est désormais nativement intégrée à WordPress. Depuis votre tableau de bord WordPress, cliquez sur « Outils » > « Santé du site » > « Activer la migration vers HTTPS » (si vous disposez d’un certificat SSL). Tous les liens de votre site seront alors automatiquement mis à jour en HTTPS.
- Une extension peut également faire cela de façon simple et rapide. Nous vous conseillons Really Simple SSL : https://fr.wordpress.org/plugins/really-simple-ssl/.
- Si vous ne parvenez pas à effectuer cette manœuvre, contactez-nous !
Quelles vérifications effectuer après avoir passé votre site WordPress de HTTP en HTTPS ?
Une fois que votre certificat SSL est installé sur votre site et que vos URLs HTTP ont été redirigées en HTTPS, il ne vous reste plus qu’à faire quelques petites vérifications.
Mettre à jour Google Search et Google Analytics
- Mettez à jour Google Search Console en ajoutant l’URL du domaine de votre site en HTTPS.
- Mettez à jour Google Analytics en remplaçant l’URL en HTTP par l’URL en HTTPS.
Mettre à jour le sitemap de votre site WordPress
- Configurer un nouveau sitemap (c’est un fichier comportant le plan de votre site avec toutes les URLs qui le constituent) permettra à Google de prendre en compte cette mise à jour importante de votre site plus rapidement, et donc d’améliorer vos performances SEO.
- Pour procéder simplement, installez et configurez l’extension gratuite Yoast SEO. Elle se charge de mettre à jour votre sitemap automatiquement à chaque mise à jour de votre site.
- Pour paramétrer cette fonctionnalité, rendez-vous dans le menu latéral gauche de votre tableau de bord WordPress. Cliquez sur « Extensions » > « Yoast SEO » > « Réglages » > « Fonctionnalités du site » > « APIs » > « Plans de site XML » > « Activer la fonctionnalité » > « Enregistrer les modifications ».
- Connectez-vous à Search Console après avoir mis votre nom de domaine à jour. Dans la barre latérale, cliquez sur « Envoyer ». Collez simplement le texte sitemap_index.xml et cliquez sur « Sitemaps ».
Félicitations : votre site WordPress est maintenant en HTTPS et les données de vos utilisateurs sont désormais protégées !
