Un de mes clients a reçu, un lundi matin, un mail d'un prospect qui disait simplement : « Votre site est signalé comme dangereux par mon navigateur, je passe par un concurrent. » Le site en question était en HTTPS. Le cadenas s'affichait bien. Sauf que le certificat avait expiré le samedi soir, que personne ne surveillait l'échéance, et que Chrome affichait un avertissement rouge plein écran à tous les visiteurs depuis 36 heures. Trois leads perdus ce week-end-là. Coût du renouvellement : zéro euro.
Voilà pourquoi je n'écris plus d'article qui se contente de dire « le HTTPS, c'est bien pour le SEO ». La question https et SEO ne se résume plus à avoir un certificat SSL ou non. Elle se joue sur autre chose : est-ce que votre HTTPS tient debout dans la durée, sans mixed content, sans vieux protocole, sans redirection cassée. C'est là que ça devient intéressant, et c'est précisément ce que je vois le plus souvent rater.
Points clés à retenir
- Le certificat SSL est un signal de classement, mais un signal faible — il ne compense pas un contenu médiocre.
- Un HTTPS mal configuré (contenu mixte, TLS obsolète, expiration) fait plus de dégâts qu'un site jamais passé au HTTPS.
- Un certificat expiré affiche un avertissement navigateur qui fait fuir la quasi-totalité des visiteurs.
- La migration vers HTTPS casse le SEO quand les redirections 301 ne sont pas posées page par page.
- Le cadenas ne garantit rien sur la légalité ou l'honnêteté du site : il chiffre la connexion, point.
Pourquoi le certificat SSL compte vraiment pour le référencement
Rappelons le mécanisme, parce qu'il est souvent mal expliqué. Le HTTPS, c'est du HTTP enveloppé dans une couche de chiffrement TLS. Le certificat SSL (ou TLS, techniquement) sert à deux choses : prouver que le serveur auquel vous parlez est bien celui qu'il prétend être, et chiffrer les données qui circulent entre le navigateur et ce serveur. Sans certificat, tout passe en clair.
Pour Google, l'enjeu est double. D'abord, il veut indexer des pages qu'il peut récupérer de façon fiable. Ensuite, il ne veut pas envoyer ses utilisateurs vers des sites qui déclenchent des alertes. C'est pour ça que le HTTPS est devenu un signal de classement, officialisé par Google il y a plusieurs années déjà. Vous avez peut-être lu partout que c'était « un facteur de ranking ». C'est vrai. Mais soyons précis :
Un signal de classement faible, mais un seuil
Le HTTPS n'est pas un levier magique. Un site lent, mal structuré, avec du contenu creux, ne remontera pas parce qu'il a un joli cadenas. Le certificat SSL sert de ticket d'entrée, pas de place de podium. La différence est importante : ce n'est pas un bonus que vous gagnez, c'est une condition que vous remplissez ou non.
Et le jour où vous ne la remplissez plus (expiration, casse de configuration), vous ne perdez pas quelques points. Vous tombez dans une catégorie à part.
Le cas concret du certificat expiré
C'est l'erreur numéro un que je rencontre. Les gens installent un certificat, l'oublient, et découvrent le problème quand il est trop tard. Un certificat Let's Encrypt se renouvelle tous les 90 jours. Si le renouvellement automatique tombe en panne (et ça arrive, un changement de serveur, un cron cassé, un firewall qui bloque le port de validation), vous avez 90 jours pour vous en apercevoir. Après, c'est le rouge.
Ce que je conseille systématiquement : un monitoring d'expiration avec alerte à 30 jours, et un test qui vérifie le renouvellement automatique lui-même, pas juste la date. J'ai vu un site où le certificat était valide, mais où le renouvellement auto échouait silencieusement depuis cinq semaines. Il ne restait que six jours. Personne ne le savait.
Mixed content : le tueur silencieux de votre HTTPS
Voici le cas que presque personne ne traite, et c'est celui qui m'énerve le plus parce qu'il est invisible. Vous passez au HTTPS. Vous ne touchez pas au reste. Et votre site charge toujours des ressources en HTTP : une image, un script, une police, une iframe. Le navigateur, lui, voit une page HTTPS qui appelle du HTTP. Résultat : contenu mixte.
Deux niveaux existent, et la distinction compte :
- Contenu mixte passif : images, vidéos, audio. Le navigateur les bloque ou les signale, mais la page s'affiche. Moche, mais pas fatal.
- Contenu mixte actif : scripts JS, CSS, iframes, formulaires. Là, le navigateur bloque purement et simplement. Votre mise en page explose, ou vos fonctionnalités disparaissent.
Le problème est vicieux parce que vous ne le voyez pas forcément. Sur votre poste, le navigateur peut charger la ressource en cache ou tolérer l'erreur. Sur le poste d'un visiteur, c'est un cadre blanc à la place d'un formulaire de contact.
Comment détecter le contenu mixte
Ouvrez la console développeur de votre navigateur sur chaque type de page (accueil, article, page produit, tunnel de commande). Filtrez sur « mixed » ou regardez les erreurs de chargement. Vous verrez tout de suite les URL en http:// qui traînent. Les sources habituelles :
- Des images insérées à la main avec une URL http dans un vieil article.
- Un thème ou un plugin qui code en dur une police Google Fonts ou un CDN en http.
- Une iframe YouTube ou une carte intégrée qui n'utilise pas la version sécurisée.
- Des scripts publicitaires ou de tracking d'un tiers.
La correction est souvent simple une fois le coupable identifié : un rechercher-remplacer dans la base de données fait le travail pour 90 % des cas. Mais il faut d'abord savoir regarder.
Les failles techniques qui ruinent un certificat SSL
Avoir un certificat ne suffit donc pas. J'ai mis des années à comprendre que le HTTPS n'est pas un état binaire, mais une configuration qu'il faut maintenir. Voici ce que je vérifie maintenant sur chaque site que j'audite.
Protocoles et chiffrement obsolètes
Un site peut avoir un certificat valide et négocier quand même avec des protocoles que plus personne ne devrait laisser ouvert. TLS 1.0 et TLS 1.1 sont considérés comme obsolètes. Si votre serveur les accepte encore, vous laissez passer des connexions chiffrées avec des algorithmes faibles. La bonne configuration ne laisse que TLS 1.2 et TLS 1.3.
Je l'ai découvert par hasard sur mon propre serveur, il y a deux ans, en passant un scan de sécurité. Je pensais être propre. Je ne l'étais pas.
En-têtes de sécurité absents
Un certificat protège le transport. Il ne protège pas contre grand-chose d'autre. Les en-têtes HSTS, Content-Security-Policy ou X-Content-Type-Options ajoutent des couches que le certificat seul ne fournit jamais. Aucun n'est un facteur de classement direct, mais leur absence peut exposer vos pages à des injections qui, elles, finissent par se voir dans les résultats.
HTTPS et SEO : la migration qui casse tout
Passer au HTTPS, c'est bien. Mal migrer, c'est pire que de ne rien faire. J'ai repris un projet où le développeur précédent avait tout basculé en HTTPS sans redirections : chaque URL indexée en http répondait une erreur. Le trafic organique avait chuté d'environ un tiers en trois semaines. Il a fallu six mois pour remonter, une fois les redirections posées proprement.
La migration correcte tient en une poignée de points, mais chacun compte :
| Étape | À faire | Conséquence si oubliée |
|---|---|---|
| Redirections | Rediriger chaque URL http vers son équivalent https en 301 | Pages perdues, trafic divisé |
| URL canoniques | Mettre à jour les balises canon vers la version https | Duplication, signaux confus pour Google |
| Sitemap | Régénérer le sitemap avec les URL https | Google explore l'ancienne version |
| Search Console | Déclarer la propriété https et resoumettre le sitemap | Suivi aveugle pendant la transition |
| Liens internes | Remplacer les liens internes http | Chaînes de redirections inutiles, crawl gaspillé |
Un point que beaucoup oublient : les liens internes. Si vos menus pointent encore en http, chaque clic passe par une redirection. Ça fonctionne, mais ça ralentit, et ça dilue le signal. J'ai corrigé ça sur un site de e-commerce il y a quelques mois. Une heure de travail, une différence visible sur la vitesse de chargement des pages catégories.
Questions fréquentes sur le certificat SSL
Un certificat SSL gratuit est-il moins bon qu'un payant ?
Pour le SEO, non. Un certificat gratuit type Let's Encrypt chiffre exactement de la même manière qu'un certificat payant. La différence n'est pas dans le chiffrement ni dans le signal envoyé à Google. Elle porte sur trois choses : la durée de validité (souvent 90 jours pour le gratuit, donc renouvellement à automatiser), le type de validation (les certificats à validation étendue affichent le nom de l'entreprise dans certains navigateurs, ce qui rassure sur un site de paiement), et le support en cas de problème. Pour un blog ou un site vitrine, le gratuit suffit largement. Pour une boutique qui encaisse des paiements, le payant apporte un confort de gestion, pas un avantage de position.
Le HTTPS influence-t-il directement le classement ?
Oui, mais modérément. Le HTTPS fait partie des signaux que Google utilise pour classer une page. En pratique, l'effet est faible comparé au contenu, aux liens entrants et à l'expérience utilisateur. Sa vraie force est indirecte : un site sans HTTPS génère des avertissements navigateur, ce qui augmente le taux de rebond, détruit le taux de conversion, et décourage les liens entrants. Ce sont ces conséquences-là qui pèsent réellement sur le référencement, plus que le cadenas lui-même. Autrement dit : le HTTPS compte surtout par ce qu'il évite, pas par ce qu'il apporte.
Que se passe-t-il si mon certificat expire ?
Immédiatement, les navigateurs affichent un avertissement de sécurité qui demande au visiteur de confirmer qu'il veut continuer. La plupart ne le font pas. Le taux de rebond grimpe en flèche, les conversions tombent à zéro sur les pages concernées, et Google peut signaler le site comme non sécurisé dans ses résultats. Tant que la situation dure, vous perdez du trafic et de la confiance. La bonne nouvelle : c'est réparable en quelques minutes dès que vous renouvelez le certificat. La mauvaise : si vous ne surveillez pas l'échéance, vous l'apprendrez par un client mécontent, jamais par un tableau de bord.
Ce que je retiens après tout ce temps
Le certificat SSL est devenu une commodité. Gratuit, facile à installer, presque tout le monde l'a. C'est précisément pour ça que la question a changé de nature. Il y a quelques années, la ligne de partage était entre les sites qui avaient un certificat et ceux qui n'en avaient pas. Aujourd'hui, elle passe entre les sites qui maintiennent leur HTTPS correctement et ceux qui l'ont installé puis oublié.
La prochaine fois que vous vérifiez votre site, ne regardez pas seulement le cadenas. Ouvrez la console, testez un tunnel de commande, vérifiez la date d'expiration, scannez les protocoles acceptés. Ce sont ces détails invisibles qui décident si votre HTTPS travaille pour vous ou contre vous.
Et si vous ne devez retenir qu'une chose : un site sans HTTPS n'a pas de problème de référencement. Il a un problème de survie.
