Si mon site est en HTTPS, est-il protégé contre le piratage ?

Non. HTTPS chiffre les données en transit entre votre serveur et le navigateur de vos visiteurs. Mais il ne protège pas votre serveur contre un accès non autorisé via un plugin vulnérable, un fichier .env exposé ou un mot de passe FTP faible. Un attaquant qui entre directement dans votre serveur n'a aucun besoin de passer par le canal HTTP. Le HTTPS est un prérequis indispensable, pas une protection complète.

Pourquoi un site de phishing peut-il afficher le cadenas HTTPS vert ?

Parce que le certificat SSL certifie que la communication est chiffrée avec le domaine affiché dans la barre d'adresse, pas que ce domaine appartient à une organisation légitime. N'importe qui peut obtenir un certificat SSL gratuit (Let's Encrypt) pour n'importe quel domaine, y compris banque-connexion.cc. Le cadenas dit « vos données sont transmises de façon chiffrée », pas « ce site est digne de confiance ».

Un certificat SSL gratuit (Let's Encrypt) est-il aussi sûr qu'un certificat payant ?

Pour la protection des données en transit, oui. Let's Encrypt utilise les mêmes algorithmes de chiffrement que les certificats payants. La différence principale : les certificats payants (Extended Validation ou Organisation Validation) vérifient l'identité juridique du propriétaire du site. Pour un site d'artisan ou de PME, Let's Encrypt est largement suffisant et recommandé. La plupart des hébergeurs l'activent automatiquement.

Qu'est-ce que HSTS et est-ce important pour mon site ?

HSTS (HTTP Strict Transport Security) est un header de sécurité qui indique aux navigateurs de toujours utiliser HTTPS pour votre site, même si l'utilisateur tape http:// dans la barre d'adresse. Sans HSTS, il existe une fenêtre lors du premier accès où un attaquant positionné sur le réseau pourrait intercepter la connexion avant la redirection vers HTTPS. C'est une protection complémentaire que votre développeur peut ajouter en quelques lignes dans votre fichier .htaccess.

HTTPS et certificat SSL : ce que ça protège vraiment

«Mon site est sécurisé, j'ai le cadenas vert.» C'est la réponse la plus fréquente quand je pose la question de la sécurité à un dirigeant de PME. Le cadenas est là, le HTTPS est actif, tout va bien.

Sauf que non, pas tout à fait. Le HTTPS est nécessaire, mais insuffisant. Et confondre «HTTPS activé» avec «site sécurisé» est l'une des idées reçues les plus dangereuses en matière de sécurité web pour les PME.

Voici ce que le HTTPS fait réellement, et ce qu'il ne fait pas.

Ce que HTTPS protège vraiment

HTTPS (HyperText Transfer Protocol Secure) chiffre la communication entre votre site et le navigateur de vos visiteurs. Concrètement, cela signifie trois choses :

1. Les données en transit ne peuvent pas être lues

Quand un visiteur saisit un formulaire sur votre site (nom, email, coordonnées, numéro de carte), ces données sont chiffrées avant d'être envoyées. Si quelqu'un intercepte la communication sur le réseau (cafés, hôtels, aéroports…), il ne voit que du charabia indéchiffrable, pas les données réelles.

2. Les données en transit ne peuvent pas être modifiées

Sans HTTPS, un attaquant positionné entre votre serveur et votre visiteur peut modifier votre page à la volée, injecter une publicité, un formulaire frauduleux, ou du code malveillant. HTTPS garantit l'intégrité de ce qui est transmis.

3. Vous êtes qui vous dites être

Le certificat SSL vérifie que le site que visite votre client appartient bien à votre domaine. C'est la différence entre nordsite.fr et un site malveillant nommé n0rdsite.fr qui imiterait le vôtre.

Ce que HTTPS ne protège PAS

Et c'est là que beaucoup de propriétaires de PME se trompent.

HTTPS ne protège pas votre serveur

Un attaquant qui accède à votre serveur via un plugin WordPress vulnérable, un mot de passe FTP faible, ou un fichier .env exposé, il s'en fiche complètement que votre site soit en HTTPS. Il est déjà à l'intérieur.

HTTPS protège le canal de communication. Il ne protège pas ce qui est à l'intérieur du coffre.

HTTPS ne protège pas contre les sites de phishing

C'est contre-intuitif, mais un site de phishing peut lui aussi avoir un certificat HTTPS valide, et donc le «cadenas vert». Le certificat dit «la communication est chiffrée avec le site à cette adresse». Il ne dit pas «ce site est légitime et honnête».

Un attaquant peut créer https://banque-populaire.connexion.cc avec un certificat SSL valide. Tout est vert. Tout est faux.

HTTPS ne protège pas votre code

Si votre WordPress est truffé de plugins périmés avec des failles connues, si votre mot de passe admin est «motdepasse2024», si votre base de données est accessible depuis l'extérieur, HTTPS ne change rien à cela.

HTTPS ne protège pas les données stockées sur le serveur

Les données de vos clients, une fois reçues par votre serveur, sont stockées dans votre base de données. Si cette base est compromise (via une injection SQL, un accès FTP non autorisé, ou un fichier de configuration exposé), HTTPS n'a aucun rôle à jouer dans leur protection.

Le cas des certificats gratuits (Let's Encrypt)

Let's Encrypt a révolutionné le HTTPS en rendant les certificats SSL gratuits. C'est une excellente chose, ça a contribué à ce que la majorité des sites soient aujourd'hui en HTTPS.

Mais attention : un certificat Let's Encrypt ne dit rien de la légitimité du propriétaire du site. N'importe qui peut en obtenir un pour n'importe quel domaine. Ce n'est pas un gage de confiance sur l'identité de qui est derrière le site.

Ce que vous devez faire EN PLUS du HTTPS

Pour une sécurité réelle, le HTTPS est un prérequis, pas une fin. Voici ce qu'il faut ajouter :

Headers de sécurité HTTP, ils protègent contre les attaques côté navigateur (clickjacking, injection de scripts, etc.). Notre guide sur les headers →
Bloquer les fichiers sensibles exposés, .env, .git, wp-config.php.bak. Notre guide sur les fichiers exposés →
Mettre à jour CMS et plugins régulièrement, la source n°1 des piratages WordPress.
Mots de passe forts + authentification à deux facteurs sur le back-office et l'hébergeur.
Sauvegardes quotidiennes hors site, pour pouvoir revenir en arrière après n'importe quel incident.

Comment vérifier que votre HTTPS est bien configuré

Avoir HTTPS actif ne suffit pas, il faut que ce soit bien configuré. Quelques points à vérifier :

Votre certificat n'est pas expiré (vérifiez la date dans les informations du cadenas)
La redirection HTTP → HTTPS est active (taper http:// devant votre URL doit automatiquement vous emmener en https://)
Votre site utilise TLS 1.2 ou 1.3 (les versions SSLv2, SSLv3 et TLS 1.0 sont obsolètes et vulnérables)
Le header HSTS est configuré (force les navigateurs à toujours utiliser HTTPS)

Notre simulateur vérifie tout ça automatiquement. Testez votre site →

Récapitulatif

Le HTTPS chiffre ce qui circule entre votre serveur et vos visiteurs. C'est indispensable, c'est un prérequis SEO et légal. Mais un site en HTTPS peut quand même être piraté, avoir des données exposées, ou servir de point de départ pour des attaques.

La sécurité d'un site web, c'est plusieurs couches : le transport (HTTPS), la configuration serveur (headers, fichiers exposés), le code et les dépendances (mises à jour), les accès (mots de passe, 2FA) et les sauvegardes. Aucune de ces couches ne remplace les autres.

Vous voulez savoir où en est votre site sur ces différentes dimensions ? Notre simulateur gratuit analyse votre site en 30 secondes, ou consultez notre offre d'audit complet à 290€ HT.