Certificat SSL
comprendre, choisir et installer le bon
SSL ou TLS, cadenas, DV/OV/EV, gratuit ou payant : ce qu’un certificat fait vraiment et comment choisir celui qu’il vous faut.
Un certificat SSL, techniquement un certificat TLS, permet à un site de passer en HTTPS et d’afficher le cadenas. Il remplit deux rôles : chiffrer les échanges entre le visiteur et le serveur, et authentifier l’identité du site via une autorité de certification. Tous chiffrent de la même façon ; ils diffèrent par le niveau de vérification (DV, OV, EV). Un certificat gratuit comme Let’s Encrypt chiffre exactement comme un payant.
- SSL = TLS : même chose, TLS est le nom technique actuel.
- Deux rôles : chiffrer les échanges et authentifier le site.
- DV, OV, EV : niveau de vérification, pas de chiffrement.
- Gratuit ou payant : Let’s Encrypt chiffre comme un certificat payant.
Certificat SSL
de quoi parle-t-on exactement
Le certificat SSL est le fichier qui permet à un site de passer en HTTPS et d’afficher le cadenas dans la barre d’adresse du navigateur. Son rôle : établir une connexion chiffrée entre le visiteur et le site.
Premier point qui prête à confusion, le nom lui-même. SSL (Secure Sockets Layer) est l’ancien protocole, abandonné depuis des années pour des raisons de sécurité. Ce qui fonctionne réellement aujourd’hui, c’est TLS (Transport Layer Security), dans ses versions 1.2 et 1.3. Par habitude, l’industrie a gardé l’expression « certificat SSL », alors qu’il s’agit techniquement d’un certificat TLS. Dans le langage courant, les deux termes désignent la même chose.
Le cadenas indique seulement que la connexion est chiffrée et que le certificat est valide. Il ne prouve pas que le site est honnête : un site malveillant peut très bien afficher un cadenas. C’est un signal de connexion sécurisée, pas une caution morale sur le contenu.
À quoi sert vraiment un certificat SSL
Un certificat remplit deux missions distinctes, et les confondre mène à des malentendus.
La première, c’est le chiffrement. Sans certificat, les données échangées entre le navigateur et le serveur circulent en clair : un mot de passe, un numéro de carte ou un simple formulaire peuvent être lus par quiconque intercepte le trafic. Le chiffrement rend ces échanges illisibles pour un tiers. C’est la fonction que tout le monde connaît.
La seconde est moins visible : l’authentification. Le certificat est délivré par une autorité de certification (CA), un organisme tiers qui vérifie au minimum que le demandeur contrôle bien le domaine. Quand votre navigateur reçoit le certificat, il contrôle qu’il a été signé par une autorité reconnue. Cela confirme que vous parlez au serveur du domaine affiché, et non à un imposteur. Le chiffrement protège le contenu, l’authentification protège l’identité : deux questions différentes, toutes deux nécessaires.
Comment ça marche
la poignée de main expliquée simplement
Quand vous ouvrez un site en HTTPS, navigateur et serveur procèdent à une « poignée de main » (handshake) en une fraction de seconde. Le serveur envoie son certificat, qui contient sa clé publique. Le navigateur vérifie que ce certificat est valide et signé par une autorité de confiance présente dans son magasin de certificats.
Le principe repose sur deux clés liées : une clé publique, partagée, et une clé privée, gardée secrète par le serveur. Ce qui est chiffré avec l’une se déchiffre avec l’autre. Le navigateur et le serveur s’en servent pour se mettre d’accord, de façon sécurisée, sur une clé de session commune. À partir de là, tout l’échange est chiffré avec cette clé de session, plus rapide à manipuler. La clé privée ne quitte jamais le serveur : c’est ce qui rend l’interception du trafic inexploitable.
DV, OV, EV
quel niveau de validation choisir
Tous les certificats chiffrent de la même manière. Ce qui les distingue, c’est le niveau de vérification effectué par l’autorité avant de les délivrer.
| Type | Vérification | Usage typique |
|---|---|---|
| DV (Domain Validation) | Contrôle du domaine (e-mail ou enregistrement DNS), rapide | Blog, site vitrine, large part du web |
| OV (Organization Validation) | Domaine + existence de l’organisation | Sites d’entreprise voulant une identité vérifiée |
| EV (Extended Validation) | Vérification approfondie de l’entité (existence légale, adresse) | Sites sensibles, longtemps la banque |
Un point à garder en tête : ces niveaux changent la vérification d’identité, pas la solidité du chiffrement. Un certificat DV chiffre aussi bien qu’un EV.
Certificat gratuit ou payant
que vaut Let’s Encrypt
La gratuité fait douter, à tort. Let’s Encrypt est une autorité de certification à but non lucratif qui délivre des certificats DV gratuits. Ils sont reconnus nativement par tous les grands navigateurs, et le chiffrement qu’ils offrent est identique à celui d’un certificat payant. La différence ne porte pas sur la sécurité technique.
Ce qu’un certificat payant peut apporter, c’est autre chose : la validation d’organisation (OV) ou étendue (EV), un support commercial, des engagements contractuels, parfois une couverture multi-domaines avec une gestion simplifiée. Pour un site personnel, un blog ou une vitrine, un certificat gratuit fait le travail. Pour une organisation qui veut afficher une identité vérifiée ou bénéficier d’un accompagnement, le payant se justifie. Le critère n’est pas « gratuit égale moins sûr », mais le niveau de validation et de service dont on a réellement besoin.
Obtenir, installer et renouveler son certificat
La plupart des hébergeurs proposent aujourd’hui l’activation d’un certificat en quelques clics, souvent gratuit via Let’s Encrypt, directement depuis le panneau de gestion. C’est la voie la plus simple. Sur un serveur que vous administrez vous-même, un outil comme Certbot automatise l’obtention et l’installation.
Un certificat a une durée de validité limitée. Passé la date, le navigateur affiche un avertissement de sécurité qui fait fuir les visiteurs. Les certificats gratuits ont une validité courte, justement pour pousser à l’automatisation : le renouvellement se fait alors tout seul. Si vous gérez un certificat à la main, notez sa date d’expiration et renouvelez-le en avance. Un certificat expiré casse la confiance aussi sûrement qu’un certificat absent.
Quelle est la différence entre SSL et TLS ?
SSL est l’ancien protocole, abandonné depuis des années pour des raisons de sécurité. Le protocole réellement utilisé aujourd’hui est TLS, dans ses versions 1.2 et 1.3. Par habitude, on continue de dire « certificat SSL », mais il s’agit techniquement d’un certificat TLS : les deux termes désignent la même chose dans le langage courant.
Un certificat SSL gratuit est-il aussi sûr qu’un payant ?
Pour le chiffrement, oui. Un certificat gratuit délivré par Let’s Encrypt offre exactement le même niveau de chiffrement qu’un certificat payant, et il est reconnu par tous les grands navigateurs. La différence porte sur le type de validation (DV pour le gratuit, OV ou EV pour certains payants) et sur le support, pas sur la solidité technique.
Que signifie le cadenas dans le navigateur ?
Le cadenas indique que la connexion est chiffrée et que le certificat présenté est valide. Il ne prouve pas que le site est honnête : un site malveillant peut aussi afficher un cadenas. C’est un signal de connexion sécurisée, pas un label de confiance morale.
Combien de temps un certificat SSL est-il valable ?
La durée de validité est limitée et varie selon le certificat. Les certificats gratuits ont une validité courte, ce qui pousse à automatiser leur renouvellement. Le point important est de ne jamais laisser un certificat expirer : passé la date, le navigateur affiche un avertissement de sécurité. Mieux vaut automatiser le renouvellement ou noter la date à l’avance.
Un certificat SSL n’a rien d’un gadget : il chiffre et il authentifie, deux rôles à ne pas confondre. Une fois ce mécanisme compris, le choix devient simple — le bon niveau de validation, le bon mode d’obtention, et un renouvellement qu’on n’oublie pas.