Let's Encrypt a retiré la mention « bêta » il y a deux semaines. L'organisme délivre des certificats gratuits au public depuis décembre, mais depuis le 12 avril, il s'agit d'une autorité de certification pleinement opérationnelle, accessible à tous, sans frais, avec des renouvellements qui peuvent être gérés automatiquement.
Quelques jours plus tôt, WordPress.com a activé le HTTPS pour tous les blogues qui utilisent un domaine personnalisé, avec des certificats Let's Encrypt. Des millions de sites ont été convertis d'un seul coup, sans aucune intervention de leurs propriétaires.
Pour un propriétaire de petite entreprise, ce sujet peut sembler purement technique. Sa portée est pourtant plus grande qu'il n'y paraît.
Pourquoi le HTTPS a-t-il été traité comme une option pour les sites de petites entreprises?
Parce qu'il entraînait des coûts et des efforts techniques pour un avantage modeste. Google a annoncé en août 2014 que le HTTPS compterait comme un petit signal de classement. La plupart des petits sites n'ont pas fait la transition, pour des raisons compréhensibles. Il fallait acheter un certificat chez un fournisseur, le payer de nouveau chaque année, puis l'installer selon une procédure qui consistait à générer une demande de signature, à coller des blocs de code dans un panneau de contrôle et à espérer que tout fonctionne. Certains hébergeurs mutualisés à bas prix facturent même des frais supplémentaires simplement pour permettre l'utilisation d'un certificat.
Le HTTPS est donc resté une option. Les banques l'utilisent. Les boutiques en ligne l'utilisent, du moins sur la page de paiement. Un centre de plongée ou un gîte doté d'un formulaire de contact ne l'utilise presque jamais. Lorsque le sujet est abordé, les propriétaires posent toujours la même question : combien cela coûte-t-il, et qu'est-ce que cela apporte? Jusqu'ici, la réponse exacte était « un peu d'argent, un peu d'effort et une très légère amélioration du classement », un argument peu convaincant, et nous n'insistions pas davantage.
Qu'est-ce que Let's Encrypt change?
Il élimine à la fois le coût et le travail manuel. Let's Encrypt est exploité par un organisme sans but lucratif, l'Internet Security Research Group, avec l'appui de Mozilla, de l'Electronic Frontier Foundation et d'autres organisations. Son objectif est de faire du chiffrement la norme. Les certificats sont gratuits et valides pendant 90 jours. Cette courte durée est voulue : le renouvellement est conçu pour être automatisé, de sorte qu'il est configuré une seule fois et qu'un petit programme renouvelle le certificat en arrière-plan.
Pour l'instant, cela suppose encore qu'une personne soit à l'aise avec la ligne de commande d'un serveur, ce qui est rarement le cas dans un petit centre de plongée ou une boulangerie. Le facteur déterminant sera l'intégration du processus par les hébergeurs dans leurs panneaux de contrôle. Plusieurs l'ont déjà fait. WordPress.com vient de démontrer que cela peut se faire à très grande échelle sans aucun effort de la part du propriétaire du site. La tendance indique que d'ici un an ou deux, un hébergeur qui facture encore un certificat de base aura du mal à le justifier.
Pour le contexte, ou pour les personnes qui gèrent leur propre serveur, le site de Let's Encrypt explique son fonctionnement en langage clair.
Une autre raison incite à agir rapidement. L'équipe de Chrome a déclaré publiquement son intention de marquer éventuellement les pages en HTTP simple comme non sécurisées, sans préciser de date. À ce moment, la question ne relèvera plus du référencement; elle deviendra « pourquoi mon site Web indique-t-il qu'il est dangereux? ». Nous recommandons d'effectuer la transition avant qu'un client voie un tel avertissement.
Comment faire passer le site d'une petite entreprise au HTTPS sans rien briser?
En suivant un ordre précis. La séquence suivante convient à un site WordPress typique :
- Sauvegarder le site et la base de données, chaque fois. L'opération prend cinq minutes.
- Installer le certificat et vérifier que la version HTTPS de la page d'accueil s'affiche.
- Changer l'adresse du site dans les réglages de WordPress, de http:// à https://.
- Effectuer un rechercher-remplacer dans la base de données pour mettre à jour les anciens liens http:// vers votre propre domaine, dans les articles, les menus et les widgets.
- Mettre en place une redirection permanente 301 pour que chaque adresse HTTP mène à la même page en HTTPS. Chaque page, et non seulement la page d'accueil.
- Explorer le site avec un outil, ou le parcourir avec la console de développement du navigateur ouverte, afin de repérer le contenu mixte.
- Ajouter la version HTTPS comme nouvelle propriété dans la Search Console, et mettre à jour l'adresse dans Google Analytics, dans la fiche Google My Business et dans les profils de réseaux sociaux.
La cinquième étape est la plus souvent omise. Le certificat est installé, le cadenas apparaît sur la page d'accueil, et le travail s'arrête là. Il en résulte deux copies du site, l'une en HTTP et l'autre en HTTPS, et les anciens liens et favoris mènent encore à la version non sécurisée. Google détecte du contenu en double, ce qui nuit au site.
Qu'est-ce que le contenu mixte, et pourquoi pose-t-il problème?
Il y a contenu mixte lorsqu'une page se charge en HTTPS, mais récupère une image, un script ou une police en HTTP simple. Le navigateur le détecte. Pour les images, la conséquence habituelle est la perte du cadenas vert, ce qui donne une impression de négligence. Pour les scripts, la conséquence est plus grave : les navigateurs les bloquent complètement, ce qui peut briser un carrousel ou empêcher un module de réservation de se charger, sans aucun avertissement. Les réservations cessent simplement.
Sur les petits sites, les sources habituelles sont toujours les mêmes :
- des images insérées dans d'anciens articles avec l'adresse http:// complète
- un thème contenant un lien codé en dur vers une police ou un script
- une carte ou un formulaire de réservation intégré provenant d'un tiers qui n'a pas encore fait la transition
- un logo de pied de page téléversé il y a des années
La solution est méthodique : repérer chaque élément et le corriger. La console du navigateur en dresse la liste. Nous préférons consacrer une heure à cette vérification avant de confirmer à un client que son site est en HTTPS, plutôt que de recevoir trois jours plus tard un message au sujet d'un formulaire de réservation qui a cessé de fonctionner.
Un dernier point concerne les tiers. Si un moteur de réservation ou une page de paiement n'est pas encore en HTTPS, il faut demander fermement au fournisseur à quel moment ce sera fait. La correction relève de sa responsabilité, mais c'est le site de l'entreprise qui paraît peu fiable.
Vaut-il la peine de faire la transition maintenant?
Oui. Pour un nouveau site, il n'existe plus aucune raison de le lancer en HTTP simple. Pour un petit site existant, nous recommandons de prévoir un après-midi, de choisir une journée tranquille et de surveiller la Search Console pendant deux ou trois semaines par la suite. Le trafic peut fluctuer légèrement pendant que Google traite les nouvelles adresses, puis il se stabilise.
Il est également essentiel de vérifier que le renouvellement fonctionne réellement. Un certificat de 90 jours qui n'est pas renouvelé produit un avertissement pleine page devant les clients, soit l'une des pires premières impressions qu'un site Web puisse donner. Ce type de tâche récurrente a sa place dans l'entretien de site régulier, et il vaut la peine de demander directement à toute entreprise d'hébergement Web si elle s'en charge.
Pendant longtemps, le chiffrement a été traité comme une option à vendre, alors qu'il aurait dû constituer la norme minimale. Let's Encrypt pourrait enfin en faire la norme pour tous les sites, et non seulement pour ceux qui en avaient les moyens.