L'annonce de Google était brève. Le 6 août, sur son blogue destiné aux webmestres, Google a indiqué qu'il commencerait à utiliser le HTTPS comme signal de classement. Les sites sécurisés reçoivent un léger avantage dans les résultats, qualifié de très faible par Google. Pour l'instant, il touche moins d'un pour cent des requêtes, et un contenu de qualité compte encore beaucoup plus.
La plupart des propriétaires de petites entreprises ne réagiront probablement pas, s'ils en entendent parler. C'est compréhensible : un certificat a un coût, l'installation est technique, et « un signal très léger » ne crée pas d'urgence.
Nous recommandons néanmoins de planifier le passage. L'avantage de classement n'est pas la considération principale; c'est la direction du changement qui importe.
Qu'a annoncé Google au sujet du HTTPS ?
L'annonce, HTTPS as a ranking signal (en anglais), mérite d'être lue pour son ton mesuré. Google la rattache à une initiative plus vaste appelée « HTTPS everywhere », titre d'une présentation donnée à sa conférence I/O en juin. Le signal de classement sert d'incitatif, et Google indique qu'il pourrait le renforcer avec le temps.
Pour les lecteurs moins familiers avec le sujet : le HTTP est le protocole par lequel un navigateur communique avec un site Web. Le HTTPS est le même protocole, chiffré. Avec le HTTP ordinaire, une personne connectée au même réseau, comme le Wi-Fi d'un café ou le routeur d'un hôtel, pourrait en théorie lire ou modifier ce qui circule entre le visiteur et le site. Avec le HTTPS, ce n'est pas possible. Le HTTPS est signalé par le cadenas dans la barre d'adresse.
La plupart des gens associent le HTTPS aux banques et aux boutiques en ligne, sur les pages où l'on saisit un numéro de carte de crédit. Les autres sites fonctionnent généralement en HTTP ordinaire, ce qui est rarement remis en question.
Nous nous attendons à ce que cette perception change après cette année. En avril, la faille Heartbleed a amené bien des gens à changer leurs mots de passe et a fait entrer le chiffrement dans les bulletins de nouvelles du soir. Aujourd'hui, Google, qui détermine en grande partie la façon dont les entreprises sont trouvées en ligne, affirme que la sécurité concerne tous les sites.
Pourquoi le site d'une petite entreprise devrait-il passer au HTTPS ?
L'avantage de classement est mineur, et l'ajout d'un cadenas ne doublera pas l'achalandage d'un site.
Le facteur le plus important concerne les navigateurs. Chrome est aussi conçu par Google. À l'heure actuelle, une page en HTTP ordinaire s'affiche normalement, sans avertissement. Nous ne prévoyons pas que cette situation se maintienne encore bien des années. Lorsque les navigateurs commenceront à signaler les pages HTTP comme non sécurisées, même discrètement, tout site sans cadenas paraîtra moins digne de confiance.
Prenons un touriste qui compare deux gîtes. Un site affiche un cadenas; l'autre présente un avertissement à côté de son nom. Le touriste ne sait pas ce qu'est le TLS et n'a aucune raison de le savoir. Il voit simplement l'avertissement, et réservera vraisemblablement à l'autre gîte.
Si cette évaluation se confirme, les entreprises qui effectuent le passage maintenant peuvent le faire progressivement, à leur rythme. Dans le cas contraire, le coût demeure modeste : un peu d'argent et une journée de travail, avec l'avantage d'un formulaire de contact chiffré. Le risque est donc limité dans les deux cas.
Comment passer correctement un site du HTTP au HTTPS ?
Le changement n'est pas difficile, mais il est facile de ne l'effectuer qu'en partie, et une migration partielle peut causer plus de tort que l'absence de changement.
Comment obtenir un certificat ?
C'est actuellement l'étape la plus fastidieuse. Il faut acheter un certificat auprès d'une autorité de certification ou par l'entremise de son hébergeur, générer une demande sur le serveur, installer les fichiers, puis renouveler le certificat chaque année ou tous les deux ans. Certains hébergeurs réduisent cette démarche à quelques clics; bien d'autres ne le font pas et facturent le service. Pour le site d'une petite entreprise, un certificat de base à validation de domaine suffit. Le certificat plus coûteux qui affiche le nom de l'entreprise en vert n'est pas nécessaire, à moins que vous n'acceptiez des paiements et souhaitiez offrir une assurance supplémentaire.
Nous nous attendons à ce que cette étape devienne moins coûteuse et plus simple. Pour l'instant, nous recommandons de demander à votre hébergeur ce qu'il offre avant d'acheter ailleurs.
Comment rediriger les pages HTTP ?
C'est l'étape où les erreurs sont les plus fréquentes. Chaque ancienne adresse HTTP doit pointer de façon permanente (au moyen d'une redirection 301) vers la même page en HTTPS, et non vers la page d'accueil. Autrement, tous les liens que d'autres sites ont créés vers le vôtre au fil des ans mènent au mauvais endroit, et les moteurs de recherche voient deux copies de votre site se faire concurrence.
Comment corriger les liens internes et le contenu mixte ?
L'étape suivante consiste à modifier les liens à l'intérieur de votre site pour qu'ils pointent directement vers le HTTPS plutôt que de passer chaque fois par une redirection, et à corriger les images, les scripts et les polices qui se chargent encore en HTTP. Sinon, le navigateur signale un « contenu mixte », et le cadenas ne s'affiche pas, ou s'affiche avec un avertissement, ce qui annule l'intérêt du changement.
Les sites WordPress sont particulièrement sujets à ce problème, car l'adresse des images est enregistrée dans les articles avec l'ancienne URL complète. Une opération de recherche et de remplacement dans la base de données, effectuée avec soin et après une sauvegarde, règle le problème.
Comment informer Google ?
Ajoutez la version HTTPS de votre site dans les Outils pour les webmestres de Google. Google la traite comme un site distinct; il convient donc de suivre les deux versions pendant un certain temps. Vérifiez que les pages HTTPS sont indexées et que les pages HTTP disparaissent progressivement. Soumettez de nouveau votre plan de site avec les nouvelles adresses.
Est-ce que cela vaut la peine cette année ?
Pour un site doté d'un formulaire de contact, d'un formulaire de réservation ou d'un accès par connexion, oui. Toute page où les visiteurs saisissent leurs renseignements devrait déjà être chiffrée, indépendamment du classement.
Pour un simple site vitrine, la question est moins urgente. Nous recommandons néanmoins de l'inscrire à la liste pour la prochaine mise à jour importante du site, et de vérifier que votre hébergeur actuel est en mesure d'offrir le HTTPS. S'il ne l'est pas, il est utile de le savoir dès maintenant.
Nous prévoyons que la plupart des sites partiellement migrés au cours des prochaines années présenteront les mêmes problèmes : des pages qui ne sont pas redirigées, des images qui se chargent encore en HTTP et un site qui répond aux deux adresses. Ces problèmes ressortent dans tout audit SEO rigoureux, et ils coûtent peu à corriger une fois repérés.
Google a indiqué sa direction avec une clarté inhabituelle.