Pourquoi ce signal compte pour Google
HTTPS, c'est ce qui empêche quelqu'un de lire ce que votre visiteur vous envoie. Une personne remplit le formulaire de contact d'un cabinet d'avocats depuis le wifi d'un café. Elle écrit son nom, son téléphone et trois lignes sur son divorce. En HTTP, ce message voyage en clair: une personne bien placée sur le même réseau peut le lire. En HTTPS, il est chiffré entre son navigateur et votre serveur. Pour l'activer, il vous faut un certificat SSL: un petit fichier installé sur votre serveur, qui prouve que le site appartient bien à votre nom de domaine. (Le vrai nom technique est TLS, mais tout le monde dit encore SSL.) Sans lui, le navigateur écrit « Non sécurisé » à côté de votre adresse, et votre politique de confidentialité promet une protection que le site n'offre pas. Et ça se durcit: en octobre 2025, Google a annoncé que Chrome activera par défaut son réglage « Toujours utiliser une connexion sécurisée », qui affiche un avertissement avant d'ouvrir un site en HTTP.
Côté Google, n'attendez pas de miracle. HTTPS est un critère de classement depuis 2014, mais un critère léger. Dans son annonce officielle de 2014, Google parle d'un signal qui touche moins de 1 % des requêtes. Passer son site en HTTPS ne vous fera donc pas grimper. C'est l'inverse qui compte: ne pas l'avoir vous fait remarquer, dans le mauvais sens. Les personnes que Google paie pour relire ses résultats le voient aussi. Le document qu'elles appliquent, les Quality Rater Guidelines (QRG), n'emploie jamais le mot HTTPS. Mais sa section 3.4 place la confiance au centre de l'E-E-A-T et précise qu'une boutique en ligne a besoin d'un système de paiement sécurisé. La section 2.5.3 leur fait chercher vos moyens de contact, formulaires compris. Et la section 4.5.5 prévoit le cas où le navigateur affiche un avertissement de certificat: l'évaluateur qui hésite à continuer peut abandonner la tâche. Votre page n'est alors même pas lue.
Avoir un certificat SSL ne veut pas dire que tout le site est en HTTPS. C'est là que la plupart des sites perdent des points. Selon le Web Almanac 2024 de HTTP Archive, 95,6 % des pages d'accueil mobiles sont en HTTPS, mais seulement 30 % des réponses mobiles portent l'en-tête HSTS, le réglage qui dit au navigateur de toujours utiliser la version sécurisée. Le certificat est devenu banal. Le réglage complet, beaucoup moins. Trois pannes reviennent sans cesse. Une image ou un script encore appelé en http: c'est le « contenu mixte », et le navigateur le bloque ou signale la page. Un certificat expiré: le visiteur tombe sur une alerte en pleine page avant même de voir votre site. Une ancienne adresse en http qui répond encore sans rediriger: vous avez deux copies du même site. Quand j'audite le site d'un cabinet d'avocats, le certificat est presque toujours en place. Ce que je trouve à la place, ce sont de vieux liens internes en http et des images appelées en http dans des articles que personne n'a rouverts depuis des années. Ces pannes coûtent plus cher sur les pages YMYL, celles où se jouent la santé, l'argent ou la sécurité du lecteur: la personne qui prend rendez-vous dans une clinique vous confie son nom et son motif de consultation.
Les assistants IA se heurtent au même mur que vos visiteurs. Pour citer votre page, un outil comme ChatGPT, Claude ou Perplexity envoie un robot la chercher. Ce robot se comporte comme un navigateur: si le certificat est expiré ou ne correspond pas au nom de domaine, la connexion échoue le plus souvent, et la page n'est pas lue. Pas de lecture, pas de citation. Même quand tout se passe bien, l'assistant affiche un lien vers votre site. La personne qui clique doit arriver directement sur la bonne adresse en https, pas sur une alerte ni sur une chaîne de trois redirections. Pensez aussi à l'étape d'après: elle va chercher votre page de contact, et c'est là qu'elle tapera ses coordonnées. Un HTTPS propre d'un bout à l'autre ne vous fait pas citer. Il vous évite seulement d'être écarté pour une raison bête.
La grille de scoring NeuroEEAT (0-10)
Situez votre site, de l'adresse en http jusqu'au HTTPS réglé et surveillé.
| Score | Description | Indicateurs concrets |
|---|---|---|
| 0-2 | Pas de HTTPS | Le site répond en http et le navigateur affiche « Non sécurisé ». Ou bien le certificat SSL est expiré, et le visiteur tombe sur une page d'alerte avant d'arriver chez vous. |
| 3-4 | Certificat posé, rien d'autre | Le site s'ouvre en https, mais l'adresse en http répond encore sans rediriger. Des pages chargent des images ou des scripts en http (contenu mixte). |
| 5-6 | Bascule faite | Chaque adresse http renvoie à sa jumelle en https par une redirection 301 (une redirection définitive). Plus de contenu mixte sur les pages principales. Le certificat se renouvelle tout seul. |
| 7-8 | Propre partout | Les liens internes, les balises canonical (l'adresse officielle que chaque page déclare), le sitemap (la liste de pages fournie à Google) et la Search Console pointent tous vers le https. Les sous-domaines sont couverts: blog, boutique, espace client. Une seule redirection suffit, jamais une chaîne. |
| 9-10 | Verrouillé et surveillé | L'en-tête HSTS est activé. Une alerte vous prévient avant l'expiration du certificat. Un test externe comme SSL Labs donne une bonne note, et vous refaites la vérification après chaque refonte ou changement d'hébergeur. |
Comment l'auditer sur votre site
Quinze minutes, un navigateur et l'adresse de votre site: aucun outil payant.
- 01
Tapez votre adresse en http
Dans la barre d'adresse, écrivez http:// suivi de votre nom de domaine, avec puis sans www. Toutes les variantes doivent vous amener à la même adresse en https, en un seul saut. Refaites le test avec une page profonde, par exemple un article: une redirection qui renvoie tout vers l'accueil est une bascule ratée.
- 02
Ouvrez les détails du certificat SSL
Cliquez sur l'icône à gauche de l'adresse, puis sur les détails de la connexion. Notez trois choses: la date d'expiration, le nom de domaine couvert, et qui a émis le certificat. Si l'expiration approche et que personne ne sait si le renouvellement est automatique, c'est votre première urgence.
- 03
Cherchez le contenu mixte
Ouvrez cinq pages de types différents: accueil, service, article, contact, paiement ou prise de rendez-vous. Sur chacune, ouvrez la console du navigateur (touche F12, onglet Console) et cherchez les lignes « Mixed Content ». Chaque ligne désigne un fichier encore appelé en http: une image, une police, un script, une vidéo intégrée.
- 04
Vérifiez ce que vous déclarez à Google
Affichez le code source d'une page et cherchez le mot canonical: l'adresse indiquée doit commencer par https. Ouvrez ensuite votre sitemap: aucune adresse en http ne doit y rester. Dans la Search Console, l'outil gratuit de Google pour les propriétaires de sites, vérifiez que c'est bien la version https qui est suivie.
- 05
Faites le tour des sous-domaines et des formulaires
Listez tout ce qui vit à côté du site principal: blog, boutique, espace client, ancien site de campagne. Chacun doit avoir un certificat valide. Testez enfin chaque formulaire: la page qui reçoit les données doit être en https elle aussi, sinon le navigateur prévient le visiteur au moment d'envoyer.
Comment l'activer ou l'améliorer
De l'adresse en http au site verrouillé, dans l'ordre où les étapes se font.
Obtenir le certificat et basculer
- Faites une sauvegarde complète du site avant de toucher à quoi que ce soit.
- Activez le certificat SSL gratuit dans l'espace client de votre hébergeur: la plupart proposent Let's Encrypt en un clic.
- Vérifiez que le renouvellement automatique est activé, puis notez la date d'expiration dans votre agenda.
- Dans les réglages de votre outil de gestion de site (WordPress, Shopify ou autre), remplacez l'adresse du site par sa version https.
- Activez la redirection de tout le http vers le https, puis testez trois adresses au hasard.
Nettoyer ce qui traîne en http
- Remplacez les liens internes, les images et les scripts écrits en http, dans vos pages et dans la base de données.
- Corrigez chaque ligne « Mixed Content » relevée à l'audit, en commençant par les pages qui ont un formulaire.
- Mettez à jour les balises canonical, le sitemap et les balises hreflang (les liens entre versions de langue) pour qu'ils pointent vers le https.
- Ajoutez la version https dans la Search Console, ou créez une propriété de type Domaine, qui couvre toutes les versions.
- Changez l'adresse du site partout où vous la contrôlez: fiche Google, réseaux sociaux, signature de courriel, annuaires.
Verrouiller et surveiller
- Activez l'en-tête HSTS avec une durée courte au début, puis allongez-la quand tout fonctionne depuis quelques semaines.
- Supprimez les chaînes de redirections: l'adresse en http avec www doit mener au https final en un seul saut.
- Couvrez chaque sous-domaine avec son propre certificat, ou avec un certificat générique (wildcard) qui les couvre tous.
- Branchez une alerte qui vous prévient par courriel quelques semaines avant l'expiration de chaque certificat.
- Passez le site dans un test externe comme SSL Labs après chaque changement d'hébergeur, et corrigez les vieux protocoles signalés.
5 erreurs fréquentes à éviter
Spécificités sectorielles
Clinique ou praticien
Le formulaire de prise de rendez-vous transporte un nom, un téléphone et souvent un motif de consultation. Sur un sujet de santé, le visiteur pardonne moins. Vérifiez aussi l'outil de réservation externe intégré à votre page: s'il s'ouvre sur un autre nom de domaine, c'est son certificat que le patient verra.
Boutique en ligne ou courtier
La section 3.4 des QRG le dit en toutes lettres: une boutique en ligne a besoin d'un système de paiement sécurisé. Tout le parcours doit rester en https, du panier à la confirmation, y compris la page hébergée par votre prestataire de paiement. Un seul écran signalé « Non sécurisé » au moment de sortir sa carte peut suffire à faire abandonner l'achat.
Artisan ou commerce de quartier
Le site a souvent été fait il y a des années et plus personne n'y touche. C'est le cas type du certificat expiré sans que personne le sache. Demandez à votre hébergeur si le renouvellement est automatique, et vérifiez que le lien « site web » de votre fiche Google commence bien par https.
SaaS, agence ou consultant
Le risque est dans les à-côtés: documentation, page de statut, espace client, pages de campagne sur un sous-domaine. Un acheteur qui tombe sur une alerte de certificat dans votre espace de démonstration doute de tout le produit. Tenez une liste de vos sous-domaines et surveillez chaque certificat.
Signaux à activer en parallèle
HTTPS protège le trajet des données. Ces signaux disent ce que vous en faites et qui vous êtes:
FAQ
Comment passer son site en HTTPS ?
En cinq étapes, dans cet ordre. Activez un certificat SSL chez votre hébergeur. Changez l'adresse du site pour sa version https dans votre outil de gestion de site. Redirigez chaque adresse http vers sa jumelle en https avec une redirection 301. Corrigez les liens, images et scripts restés en http. Ajoutez enfin la version https dans la Search Console. Et faites une sauvegarde avant de commencer.
Comment avoir un certificat HTTPS gratuitement ?
Par votre hébergeur, dans la grande majorité des cas. La plupart intègrent Let's Encrypt, une autorité de certification gratuite, et l'activation se fait en un clic dans l'espace client. Selon le Web Almanac 2024 de HTTP Archive, Let's Encrypt émet plus de 56 % des certificats en usage sur le web. Un certificat SSL gratuit chiffre aussi bien qu'un payant: la différence porte sur la vérification de l'entreprise et la garantie, pas sur la protection.
Quelle est la différence entre un site HTTP et HTTPS ?
Le chiffrement. En HTTP, tout ce qui circule entre le visiteur et le site passe en clair: mots de passe, formulaires, pages consultées. En HTTPS, ces échanges sont chiffrés, et le certificat SSL confirme que le visiteur parle bien à votre nom de domaine et pas à un imitateur. Pour le visiteur, la différence visible est la mention « Non sécurisé » que le navigateur affiche sur les sites en HTTP.
Est-ce qu'un site HTTPS est fiable ?
Pas forcément. HTTPS garantit que la connexion est chiffrée, pas que le propriétaire du site est honnête: un site frauduleux peut obtenir un certificat gratuit en quelques minutes. Chrome a d'ailleurs retiré l'icône du cadenas de sa barre d'adresse en 2023 pour éviter cette confusion. Pour juger un site, regardez aussi qui le publie, comment le joindre et ce qu'on dit de lui ailleurs.
Que faire quand un certificat SSL est expiré ou non valide ?
Renouvelez-le tout de suite depuis l'espace client de votre hébergeur: c'est souvent un simple bouton. S'il est « non valide » sans être expiré, le certificat ne couvre probablement pas la bonne adresse, par exemple le domaine sans www ou un sous-domaine. Une fois le site revenu, cherchez pourquoi le renouvellement automatique a échoué, puis ajoutez une alerte avant la prochaine échéance. Tant que l'avertissement s'affiche, les visiteurs et les robots font demi-tour.
Cas pratique
Avant · des paniers remplis
Après · la raison donnée au moment de payer
Source : Baymard Institute, 2025, https://baymard.com/lists/cart-abandonment-rate · Le sondage mesure la méfiance au moment de donner sa carte, pas l'effet d'un certificat SSL: HTTPS n'est qu'une partie de cette confiance. Ce que le cas montre, c'est ce que coûte un doute à l'étape du paiement.