Comment obtenir le HTTPS gratuit sur votre propre serveur

Ouvrez n'importe quel site aujourd'hui et regardez la barre d'adresse. Il y a un petit cadenas, et l'adresse commence par https://. Ouvrez un site qui en est dépourvu et votre navigateur fait quelque chose de bien moins discret : une étiquette grise « Non sécurisé », parfois un avertissement pleine page qui fait fuir les visiteurs.

Si vous hébergez quelque chose sur votre propre serveur, ce cadenas, vous le voulez. La bonne nouvelle : il est gratuit, il est automatique et c'est plus simple que jamais. Voici comment ça marche.

Ce que le cadenas signifie vraiment

Le HTTPS fait deux choses à la fois :

• Il chiffre la connexion. Tout ce qui circule entre le navigateur d'un visiteur et votre serveur est brouillé, de sorte que personne au milieu — le Wi-Fi d'un café, un fournisseur d'accès à internet — ne peut le lire.
• Il prouve qui vous êtes. Un petit fichier appelé certificat atteste que ce domaine est bien servi depuis ce serveur, et non par un imposteur.

C'est tout le sens du cadenas : privé, et démontrablement vous.

Avant, ça coûtait de l'argent. Plus maintenant.

Pendant des années, les certificats étaient quelque chose que l'on achetait — un abonnement annuel, un renouvellement pénible, le genre de corvée que les gens oubliaient jusqu'à ce que leur site tombe en panne. Les choses ont changé avec Let's Encrypt, une organisation à but non lucratif qui délivre des certificats gratuitement et automatise tout le processus. Aujourd'hui, payer un certificat de base est l'exception, pas la règle.

Alors quand un vieux tutoriel vous dit d'« acheter un certificat SSL » — en général, ce n'est pas nécessaire. Le gratuit est jugé tout aussi fiable par les navigateurs.

La seule chose qui doit venir en premier

Un certificat est délivré pour un nom de domaine, et l'autorité qui le délivre doit confirmer que ce nom pointe réellement vers votre serveur. Ce qui implique une règle : votre domaine doit pointer vers le serveur avant que le HTTPS puisse s'activer. Le cadenas vient toujours ensuite.

Si vous n'avez pas encore franchi cette étape, commencez par là — nous avons écrit un petit guide sur comment connecter un domaine à votre serveur. Dès que le nom se résout, le certificat peut être délivré en quelques secondes.

Comment il se met en place — et se renouvelle pour toujours

Les serveurs web modernes s'en occupent pour vous. Quand une requête arrive pour votre domaine, le serveur peut demander un certificat, prouver qu'il contrôle le domaine, l'installer et commencer à servir en HTTPS — souvent automatiquement, dès la première visite.

Le seul détail à connaître : les certificats gratuits ont une durée de vie volontairement courte — ils expirent tous les 90 jours. Cela ressemble à une corvée, mais ça n'en est pas une, car le renouvellement est automatique lui aussi. Le serveur renouvelle discrètement, en arrière-plan, bien avant que quoi que ce soit n'expire. Vous le configurez une fois et vous n'y pensez plus.

Quand ça affiche encore « Non sécurisé »

Deux causes fréquentes, toutes deux faciles à corriger :

• Le domaine ne pointe pas encore vers le serveur (ou ne s'est pas propagé). Le HTTPS ne peut pas aboutir tant que ce n'est pas fait — revenez d'une étape.
• **La page se charge en HTTPS mais appelle quelque chose en simple http://** — une image ou un lien de script ancien. Les navigateurs signalent cela comme du « contenu mixte ». Mettre à jour ces liens vers https:// règle le problème.

Ni l'un ni l'autre n'est une impasse. Dans les deux cas, il vous manque juste une petite correction.

Le raccourci

Vous pouvez tout mettre en place à la main. Ou vous pouvez laisser Server Manager le faire : dès que votre domaine pointe vers le serveur, il active le HTTPS pour vous, installe le certificat et le renouvelle pour toujours — aucun fichier à copier, aucun rappel à 90 jours, rien à entretenir. Le cadenas apparaît, tout simplement, et il reste.

À vous, et digne de confiance

Le cadenas signalait autrefois qu'une entreprise faisait tourner un site. Aujourd'hui, il est à la portée de quiconque possède un domaine et un serveur — vous compris. Votre propre machine, votre propre nom, la même confiance du cadenas que tout le monde sur internet, gratuitement.

Les guides d'aide approfondissent le HTTPS, les certificats et les domaines dès que vous en avez envie.