Activer le protocole HTTPS sur son site web est une mesure de sécurité indispensable. Mais contrairement à ce que pensent beaucoup de PME, cette mesure n’est pas suffisante. Un protocole HTTPS mal configuré peut laisser des failles importantes, exploitables par les cybercriminels. Celles-ci compromettent la sécurité de vos données et des visiteurs de votre site web.
Dans cet article, vous découvrirez :
- ce qu’est le protocole HTTPS et ce qu’il protège,
- pourquoi son absence ou sa mauvaise configuration représente une menace pour votre PME,
- les erreurs les plus fréquentes à éviter dans la mise en place du protocole HTTPS,
- les bonnes pratiques à appliquer pour configurer correctement HTTPS et sécuriser votre site web.
1. Qu’est-ce que le protocole HTTPS ?
1.1 Quelle différence entre HTTP et HTTPS ?
Le protocole HTTP (HyperText Transfer Protocol) est le langage utilisé par les navigateurs web pour communiquer avec les serveurs. Il est à la base de tout échange de données sur Internet.
Le protocole HTTPS (HTTP Secure) en est la version sécurisée : il ajoute une couche de chiffrement via le protocole TLS (Transport Layer Security), qui protège les données échangées entre vos visiteurs et le serveur qui héberge votre site web. Le chiffrement TLS garantit que les données transitant entre votre site et ses visiteurs ne peuvent pas être lues ou interceptées par un tiers.
1.2 Les limites du HTTPS
Le protocole HTTPS est souvent perçu comme un gage de sécurité absolu. C’est inexact : il ne garantit pas à lui seul que votre site est fiable et qu’il ne comporte pas de failles. Il certifie uniquement que la connexion entre le navigateur et le serveur est chiffrée. Autrement dit, il protège le « tuyau » par lequel transitent les données, pas ce qui se passe à l’intérieur de votre site.
Contrairement aux idées reçues, un site en HTTPS n’est pas nécessairement un indicateur de confiance absolu pour les internautes. Un site frauduleux conçu pour voler des identifiants des internautes peut très bien afficher un protocole HTTPS. À l’inverse, un site légitime d’une PME mais mal configuré peut exposer des données sensibles malgré la mise en place du protocole.
Le protocole HTTPS ne protège pas non plus contre les failles présentes dans votre site lui-même. Une base de données mal sécurisée, un formulaire vulnérable, un accès administrateur insuffisamment protégé restent des portes d’entrée exploitables par les cybercriminels indépendamment de la présence du protocole.
Néanmoins, un protocole HTTPS bien configuré constitue une première ligne de défense essentielle contre les tentatives d’interception de données.
2. Absence ou mauvaise configuration HTTPS : quels sont les risques ?
2.1 Des données exposées
En l’absence de protocole HTTPS, les données échangées entre le navigateur de vos visiteurs et votre serveur ne sont pas chiffrées. En cas d’interception par un tiers malveillant, elles sont donc parfaitement lisibles et accessibles. C’est ce que l’on appelle une attaque de type « man-in-the-middle » (MITM).
Ce risque est particulièrement élevé sur les réseaux Wi-Fi publics non sécurisés disponibles dans les hôtels, cafés, gares, aéroports… Un visiteur qui navigue sur votre site depuis ce type de réseau peut être victime d’un vol d’identifiants et de données personnelles par un cybercriminel. Comme ces attaques ne laissent aucune trace visible, elles peuvent passer inaperçues pendant de longues périodes.
Par ailleurs, Google affiche depuis 2018 un avertissement « non sécurisé » dans le navigateur Chrome pour tous les sites accessibles en HTTP n’étant pas encore passés en HTTPS. Cet avertissement est visible par tous vos visiteurs et peut suffire à les faire quitter votre site immédiatement, avant même d’avoir consulté son contenu.
2.2 Des failles dangereuses
Activer HTTPS ne suffit pas si sa configuration est défaillante. Voici les principales failles liées à la mauvaise configuration du protocole, et les risques qui en découlent :
- Des versions de chiffrement obsolètes : le protocole HTTPS s’appuie sur un mécanisme de chiffrement appelé TLS, qui existe en plusieurs versions. Les plus anciennes, TLS 1.0 et TLS 1.1, sont officiellement abandonnées depuis 2021, et présentent des failles connues. Un attaquant peut les exploiter pour intercepter ou déchiffrer les données échangées sur votre site.
- Un certificat expiré ou mal configuré : pour fonctionner, le protocole HTTPS repose sur un certificat numérique SSL/TLS qui authentifie votre site et active le chiffrement. Si ce certificat expire sans être renouvelé, le navigateur affiche immédiatement une alerte bloquante à vos visiteurs. S’il est mal configuré, certaines parties de votre site peuvent rester non sécurisées.
- Un périmètre de certificat incomplet : un certificat configuré uniquement sur www.monsite.fr ne couvre pas automatiquement monsite.fr ni les sous-domaines utilisés par votre entreprise. Ces adresses restent alors accessibles sans chiffrement.
- L’absence de HSTS : même lorsque votre site est en HTTPS, un visiteur qui tape votre adresse dans son navigateur sans préciser « https:// » peut se connecter brièvement en HTTP avant d’être automatiquement redirigé vers la version sécurisée. Cette fraction de seconde suffit à un attaquant pour intercepter la connexion. Sans en-tête HSTS, cette fenêtre de vulnérabilité reste ouverte en permanence.
- Du contenu mixte : un site en HTTPS qui charge certaines ressources (images, scripts, polices) en HTTP crée ce que l’on appelle du « contenu mixte ». Ces ressources ne bénéficient pas du chiffrement, et peuvent être interceptées ou manipulées. Les navigateurs modernes bloquent automatiquement ces ressources, ce qui peut provoquer des dysfonctionnements visibles sur votre site.
3. Les conséquences d’une faille HTTPS
Les conséquences d’un protocole HTTPS absent ou mal configuré ne se limitent pas à la sécurité. Elles touchent la réputation, la visibilité et la responsabilité juridique de votre entreprise.
Google prend en compte la présence du protocole HTTPS comme critère de référencement depuis 2014. Un site en HTTP est ainsi pénalisé dans les résultats de recherche, au profit de sites concurrents correctement sécurisés. À cela s’ajoute l’avertissement « non sécurisé » affiché par les navigateurs pour tout site accessible en HTTP. Pour un prospect qui visite votre site pour la première fois, cet avertissement engendre un manque de confiance qui suffit à remettre en cause la crédibilité de votre entreprise.
Sur le plan juridique, en cas de fuite de données liée à une mauvaise configuration du protocole HTTPS, votre entreprise peut être tenue responsable au titre du RGPD. Le règlement européen impose à toute entreprise traitant des données personnelles de mettre en œuvre les mesures techniques nécessaires pour les protéger. Une configuration défaillante peut être considérée comme un manquement à cette obligation, avec à la clé une obligation de notification à la CNIL dans les 72 heures suivant la découverte de l’incident, et des sanctions potentielles.
Enfin, un certificat expiré ou une configuration défaillante peut rendre votre site inaccessible du jour au lendemain. Pour une entreprise dont le site web est un canal commercial important, les conséquences sont alors immédiates : perte de trafic, interruption des prises de contact et des commandes, avec un impact direct sur le chiffre d’affaires.
4. Les bonnes pratiques pour configurer votre site en HTTPS
Passer d’un protocole HTTP à HTTPS n’est que la première étape. Il convient ensuite de s’assurer qu’il est correctement configuré et maintenu dans le temps.
La première action à mener est d’identifier précisément l’état de votre configuration HTTPS. Un audit de cybersécurité permet d’obtenir cet état des lieux à partir d’un simple nom de domaine, sans installation ni intervention technique. Des outils comme Sekost proposent ce type de diagnostic à distance, avec un rapport lisible sans expertise technique.
Il convient ensuite de vérifier que l’ensemble de votre site est couvert par le protocole HTTPS, sans exception : pages de contenu, formulaires de contact, mentions légales, pages de blog… Toute page accessible en HTTP constitue un point de vulnérabilité. Une redirection automatique doit également être configurée pour que tout visiteur qui accède à votre site sans préciser « https:// » soit systématiquement orienté vers la version sécurisée.
Par ailleurs, votre certificat SSL/TLS doit être valide, émis par une autorité de certification reconnue, et couvrir l’ensemble des domaines et sous-domaines de votre entreprise. Un certificat auto-signé ou ne couvrant qu’une partie de vos adresses laisse des zones non protégées. Pensez également à activer son renouvellement automatique : un certificat expiré entraîne l’affichage immédiat d’une alerte bloquante pour vos visiteurs.
Sur le plan du chiffrement, seules les versions TLS 1.2 et TLS 1.3 doivent rester actives sur votre serveur. Les versions antérieures, TLS 1.0 et TLS 1.1, présentent des failles connues et doivent être désactivées. Dans le même esprit, vérifiez l’absence de contenu mixte sur votre site : toutes les ressources chargées, qu’il s’agisse d’images, de scripts ou de polices, doivent être appelées en HTTPS.
Enfin, configurez l’en-tête HSTS pour forcer le navigateur à toujours utiliser HTTPS dès le premier accès à votre site. Prévoyez un suivi régulier de votre configuration. Les standards évoluent et de nouvelles vulnérabilités apparaissent régulièrement.
Conclusion
Le protocole HTTPS est un prérequis de cybersécurité pour tout site web. Mais il ne suffit pas de l’activer. Un certificat mal configuré, des versions de chiffrement obsolètes, une redirection manquante : la moindre erreur de configuration ouvre des failles qui exposent les données de vos visiteurs et la réputation de votre entreprise. Heureusement, ces vulnérabilités sont facilement identifiables et corrigeables. Mener un audit de cybersécurité est souvent le point de départ pour détecter les améliorations à apporter.
