Certificats TLS gratuits et HTTPS

Le HTTPS n'est plus optionnel. Les navigateurs étiquettent le HTTP simple « Non sécurisé », les moteurs de recherche le classent plus bas, et toute connexion ou tout paiement via HTTP est réellement dangereux.

Comment cela fonctionne ici

Nous utilisons des certificats Let's Encrypt (gratuits, automatisés, largement reconnus) émis et renouvelés par Certbot. Lorsque vous associez un domaine à un site, nous pouvons demander automatiquement un certificat et le renouveler avant son expiration. Vous ne payez jamais et n'avez jamais à y penser.

Émettre un certificat

1. Assurez-vous que le DNS du domaine pointe déjà vers nous — l'autorité de certification vérifie que vous contrôlez le nom, ce qu'elle ne peut faire que si le nom résout ici.

2. Dans /panel/web, ouvrez le site, choisissez SSL/TLS et ajoutez le domaine.

3. Nous demandons le certificat et l'installons. Cela prend généralement quelques secondes.

Demandez à la fois example.com et www.example.com afin qu'aucun n'affiche d'avertissement.

Renouvellement

Les renouvellements sont automatiques. Vous pouvez confirmer le calendrier dans le panneau et vérifier la date d'expiration à tout moment :

echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null \
  | openssl x509 -noout -subject -dates

Si un renouvellement échoue, c'est presque toujours parce que le domaine ne résout plus vers nous (le DNS a changé), que le port 80 est bloqué (le validateur en a besoin) ou qu'une limite de débit a été atteinte après des échecs répétés. Corrigez la cause, puis réessayez manuellement.

Rediriger HTTP vers HTTPS

Un certificat seul n'empêche pas d'atteindre la version HTTP simple. Ajoutez une redirection permanente — voir Forcer le HTTPS et les redirections. Une fois en place, chaque visiteur arrive sur la version sécurisée même s'il tape http://.

Testez correctement

curl -I http://example.com      # should be a 301 to https://
curl -I https://example.com     # should be 200

Et vérifiez le contenu mixte : une page servie en HTTPS qui charge une image ou un script en HTTP simple est marquée comme non sécurisée par les navigateurs. Chargez tout depuis des URL https://.

Derrière un proxy ou un CDN

Si vous placez un CDN devant nous, la chaîne de certificats va du CDN → visiteur ET du CDN → origine. Les deux tronçons ont besoin de certificats. Notre côté émet pour l'origine ; le CDN émet pour le nom visible par le visiteur. Voir Qu'est-ce qu'un CDN et en avez-vous besoin ?.

Pour aller plus loin

• Faire pointer votre domaine vers HostingSwift

• Forcer le HTTPS et les redirections