Pour la plupart des sites web professionnels, un certificat SSL gratuit suffit : il chiffre les données échangées entre le serveur et le client avec la même sécurité qu'un certificat payant. Ce qu'il n'apporte pas, c'est une vérification de l'entreprise derrière le nom de domaine.
La question revient chez beaucoup de responsables de site au moment de choisir une offre d'hébergement web : faut-il ajouter une option SSL facturée, ou le certificat livré d'office par l'hébergeur fait-il l'affaire ? La réponse tient à ce que l'on attend du certificat. S'il s'agit de protéger la connexion, de faire apparaître le cadenas et d'éviter l'avertissement « Non sécurisé » des navigateurs, le certificat gratuit fait exactement le même travail. S'il s'agit de prouver l'identité juridique de la société, c'est un autre produit, avec une autre procédure. Avant de comparer les deux, il faut voir comment un site passe en HTTPS sur l'hébergement et les services internet d'un fournisseur classique.
Ce que chiffre réellement un certificat SSL gratuit
Un certificat SSL gratuit est un fichier signé par une autorité de certification qui atteste qu'une clé publique appartient bien à un nom de domaine. Le terme SSL (Secure Sockets Layer) est resté dans l'usage, mais le protocole employé aujourd'hui est TLS (Transport Layer Security), en version 1.2 ou 1.3. Le certificat ne chiffre rien à lui seul : il permet au navigateur et au serveur de négocier une clé de session, puis toutes les données de la visite circulent chiffrées.
Le niveau de chiffrement ne dépend pas du prix du certificat. Il dépend de la configuration du serveur web : versions de TLS acceptées, suites de chiffrement, taille de la clé (RSA 2048 bits ou ECDSA 256 bits dans la plupart des cas). Un certificat Let's Encrypt et un certificat vendu par une autorité commerciale utilisent les mêmes algorithmes et offrent la même sécurité de transport. Un formulaire de contact, un espace client, un mot de passe ou un numéro de commande sont protégés de la même manière.
Concrètement, un certificat gratuit garantit trois choses au visiteur :
- la connexion est chiffrée, donc les informations saisies ne peuvent pas être lues sur le réseau (Wi-Fi public, box, opérateur) ;
- le serveur qui répond est bien celui qui contrôle le nom de domaine affiché dans la barre d'adresse ;
- les données n'ont pas été modifiées en route entre le serveur et le navigateur.
Ce qu'il ne garantit pas : que la société qui exploite le site est honnête, existe réellement ou porte le nom affiché sur la page. Un site d'hameçonnage peut obtenir un certificat gratuit pour son propre domaine aussi facilement qu'une PME. Le cadenas indique une connexion protégée, pas un commerçant fiable, et les navigateurs ont d'ailleurs cessé de présenter le cadenas comme un gage de confiance.
Validation du domaine, de l'organisation ou étendue : trois niveaux de vérification
Un certificat SSL se distingue d'un autre par le contrôle effectué avant sa délivrance, pas par la qualité du chiffrement. L'autorité de certification applique l'un des trois niveaux définis par le CA/Browser Forum, l'organisme qui fixe les règles communes aux navigateurs et aux autorités. Les certificats gratuits relèvent tous du premier niveau.
| Niveau | Ce que l'autorité vérifie | Délai d'obtention | Existe en version gratuite |
|---|---|---|---|
| DV (validation de domaine) | Le contrôle du nom de domaine (fichier sur le serveur ou enregistrement DNS) | Quelques secondes à quelques minutes | Oui : Let's Encrypt, ZeroSSL, Google Trust Services, AutoSSL de cPanel |
| OV (validation d'organisation) | Le domaine, plus l'existence légale de l'entreprise et son lien avec le demandeur | Un à plusieurs jours | Non, offre payante uniquement |
| EV (validation étendue) | Contrôle documentaire complet : registre, adresse, signataire, appel de vérification | Plusieurs jours, parfois davantage | Non, offre payante uniquement |
Pour un visiteur, la différence entre ces trois niveaux est presque invisible. Depuis Chrome 77 (2019), puis Firefox et Safari, la barre d'adresse n'affiche plus le nom de la société pour un certificat EV : il faut cliquer sur l'icône à gauche de l'adresse, puis ouvrir le détail du certificat pour lire l'organisation. Un client qui commande sur une boutique ne voit donc pas, au premier clic, si le site a payé une validation étendue. C'est l'argument principal qui rend le certificat DV gratuit suffisant pour un site vitrine, un blog d'entreprise, un site de réservation ou une boutique en ligne de taille modeste.
Comment obtenir un certificat SSL gratuit sur son hébergement ?
Obtenir un certificat SSL gratuit est devenu automatique chez la plupart des hébergeurs français. La demande, la validation du domaine, l'installation et le renouvellement passent par le protocole ACME (Automatic Certificate Management Environment), normalisé dans la RFC 8555. Le serveur prouve qu'il contrôle le domaine en répondant à un défi de l'autorité, puis reçoit le certificat sans intervention humaine.
AutoSSL et Let's Encrypt dans cPanel ou Plesk
Sur un hébergement mutualisé, le certificat gratuit s'active depuis le panneau d'administration. Dans cPanel, la fonction AutoSSL émet et renouvelle automatiquement un certificat pour chaque domaine et sous-domaine pointé vers le compte ; certains hébergeurs, comme o2switch, proposent en plus un module Let's Encrypt dans la rubrique Sécurité. Dans Plesk, l'extension Let's Encrypt (ou SSL It!) ajoute une case à cocher dans les paramètres du domaine. OVHcloud et Gandi incluent également un certificat gratuit avec leurs offres d'hébergement web, activable depuis l'espace client.
Les étapes se ressemblent d'un panneau à l'autre :
- vérifier que le nom de domaine pointe bien vers l'hébergement (enregistrements A et AAAA à jour) ;
- ouvrir la section SSL ou Sécurité du panneau et lancer la génération du certificat ;
- cocher le domaine avec et sans www, ainsi que les sous-domaines utiles ;
- activer la redirection automatique de HTTP vers HTTPS ;
- contrôler le résultat dans le navigateur, puis corriger les éventuels contenus mixtes.
L'utilisateur n'a pas besoin de générer de clé ni de demande de signature (CSR) : le panneau s'en charge. La documentation de chaque hébergeur décrit la manipulation exacte, souvent avec des captures d'écran, et l'assistance technique peut l'activer à la demande.
Sur un serveur dédié, un VPS ou une instance cloud : un client ACME
Sur un serveur administré soi-même, un VPS ou une instance de cloud public, il faut installer un client ACME avec les droits d'administration. Certbot, publié par l'EFF, reste le plus répandu ; acme.sh, Caddy (qui gère le certificat nativement) ou Traefik sont d'autres solutions. Certbot détecte la configuration d'Apache ou de Nginx, obtient le certificat et programme le renouvellement par une tâche planifiée ou un timer systemd. La page de démarrage de Let's Encrypt oriente vers le client adapté selon l'accès dont on dispose au serveur.
Le renouvellement se vérifie avec une simulation (certbot renew --dry-run), qui confirme que le défi passera le jour venu. Sur un serveur qui tourne derrière un pare-feu ou un équilibreur de charge, le port 80 doit rester joignable pour la validation HTTP-01, faute de quoi le renouvellement échoue sans bruit.
Le cas du certificat wildcard
Un certificat SSL wildcard (*.exemple.fr) couvre tous les sous-domaines d'un nom de domaine. Let's Encrypt le délivre gratuitement, mais uniquement par la validation DNS-01 : le client ACME doit créer un enregistrement TXT dans la zone DNS à chaque renouvellement. Cela suppose un accès par API au fournisseur DNS (OVHcloud, Gandi, Cloudflare et la plupart des registrars en proposent une), sinon la manipulation redevient manuelle tous les deux à trois mois. Pour un site qui n'utilise que deux ou trois sous-domaines, un certificat multi-domaines classique, listant chaque nom, reste plus simple à gérer.
Une durée de vie courte, plus atout que contrainte
Un certificat SSL gratuit de Let's Encrypt est valable 90 jours. Cette durée surprend les habitués des certificats annuels, mais elle a été choisie pour forcer l'automatisation : un certificat renouvelé par une machine tous les deux mois ne tombe pas dans l'oubli d'un calendrier. Une clé compromise sert aussi moins longtemps.
Le mouvement touche désormais les certificats payants. Le CA/Browser Forum a adopté en 2025 un calendrier de réduction de la durée maximale de tous les certificats publics : 200 jours depuis le 15 mars 2026, 100 jours à partir de mars 2027, puis 47 jours à partir de mars 2029. L'argument « un certificat payant dure plus longtemps » disparaît donc : tout site, quelle que soit son offre, devra renouveler son certificat plusieurs fois par an, et l'automatisation devient nécessaire pour tout le monde. Let's Encrypt a de son côté annoncé des durées encore plus courtes à terme.
Le vrai risque d'un certificat gratuit tient au renouvellement qui échoue sans que personne ne s'en aperçoive. Depuis 2025, Let's Encrypt n'envoie plus de courriel d'avertissement avant l'expiration ; il faut donc une surveillance propre. Plusieurs causes reviennent souvent :
- un enregistrement DNS modifié (changement d'hébergeur, passage par un CDN) qui empêche la validation ;
- une redirection ou une règle de sécurité qui bloque l'accès au dossier de validation
.well-known; - un serveur dont la tâche planifiée a été supprimée lors d'une migration ;
- un certificat copié à la main sur un second serveur ou un équilibreur, que le renouvellement ne met pas à jour.
Un outil de supervision qui contrôle chaque jour la date d'expiration du certificat servi suffit à détecter le problème. Un certificat expiré déclenche une page d'erreur pleine fenêtre chez tous les visiteurs, ce qui coûte bien plus cher qu'un certificat payant.
Quand un site professionnel a-t-il besoin d'un certificat payant ?
Un certificat SSL payant se justifie lorsqu'un tiers exige une identité vérifiée, pas lorsque le site veut être « plus sécurisé ». Plusieurs situations reviennent dans les entreprises.
- Un contrat ou un cahier des charges l'impose. Certains donneurs d'ordre, banques, assureurs ou marchés publics demandent un certificat OV ou EV pour un portail partenaire ou une API. Le type de certificat devient une clause, sans débat technique.
- Le nom de la société doit figurer dans le certificat. Un service en ligne qui reçoit des connexions de systèmes tiers (échanges de données informatisés, API de paiement) peut avoir besoin que le champ Organisation soit rempli et vérifié.
- Un équipement ou un logiciel ancien ne reconnaît pas la chaîne de confiance gratuite. Des terminaux industriels, des objets connectés ou des systèmes jamais mis à jour embarquent une liste de racines figée ; un certificat d'une autorité commerciale établie peut y être mieux reconnu.
- L'entreprise veut un support et une garantie contractuels. Les offres payantes incluent une assistance et une garantie financière en cas d'émission fautive par l'autorité. Ces garanties sont rarement mises en jeu, mais elles rassurent certains services juridiques.
- Le renouvellement automatique est impossible. Un appareil sur lequel aucun client ACME ne peut tourner impose une installation manuelle ; la durée maximale reste toutefois la même pour tous les certificats.
À l'inverse, une boutique, un site vitrine ou un intranet n'en tirent aucun avantage visible. Google a fait du HTTPS un signal de classement en 2014, sans distinguer les types de certificat : un site en DV gratuit et un site en EV sont traités à égalité dans les résultats de recherche. Les clients, eux, jugent la confiance sur d'autres éléments : mentions légales complètes, avis vérifiés, conditions de vente claires, moyens de paiement reconnus.
Côté protection des données personnelles, le RGPD demande des mesures de sécurité adaptées, dont le chiffrement des échanges ; il ne prescrit aucun type de certificat. Un certificat gratuit correctement configuré répond donc à cette exigence pour la partie transport, à condition que le reste de la chaîne (serveur à jour, base de données protégée, mots de passe hachés) suive le même niveau d'exigence.
Vérifier un certificat SSL et éviter les erreurs de configuration
Vérifier un certificat SSL prend quelques secondes depuis le navigateur : un clic sur l'icône à gauche de l'adresse affiche l'autorité émettrice, les noms couverts et la date d'expiration. Pour un contrôle complet, l'outil SSL Server Test de Qualys SSL Labs note la configuration du serveur (versions de TLS, suites de chiffrement, chaîne intermédiaire) et signale les faiblesses. En ligne de commande, openssl s_client -connect exemple.fr:443 -servername exemple.fr affiche la chaîne envoyée par le serveur.
Les erreurs les plus courantes après l'activation viennent du site, pas du certificat :
- Contenu mixte : images, scripts ou feuilles de style encore appelés par des adresses en HTTP non chiffré. Le navigateur bloque ou signale ces ressources, et le cadenas disparaît. Sur WordPress, il faut aussi mettre à jour l'adresse du site et les liens enregistrés en base de données ; la démarche complète est détaillée dans la page consacrée au passage d'un WordPress en HTTPS.
- Nom non couvert : le certificat a été émis pour exemple.fr mais pas pour www.exemple.fr (ou l'inverse), et une partie des visiteurs tombe sur une alerte. Il faut un certificat qui couvre aussi le nom en www, puis une seule adresse canonique.
- Absence de redirection : l'adresse en HTTP reste accessible et indexée en double. Une redirection 301 globale vers HTTPS, posée dans le fichier .htaccess ou la configuration du serveur, règle le problème.
- Chaîne incomplète : le certificat intermédiaire manque, ce qui passe sur un ordinateur récent et échoue sur certains mobiles. Le panneau d'hébergement installe normalement la chaîne entière ; une installation manuelle doit utiliser le fichier fullchain.
Une fois ces points vérifiés, l'en-tête HSTS (Strict-Transport-Security) peut compléter la configuration : il indique au navigateur de n'utiliser que HTTPS pour le domaine. Il faut l'activer seulement quand tous les sous-domaines servent un certificat valide, car le navigateur refusera ensuite toute connexion non chiffrée pendant la durée indiquée.
Confiance des clients, référencement et renouvellement automatique raté
Un certificat gratuit fait-il baisser la confiance des clients ?
Un certificat gratuit ne change rien à ce que voit le client : le cadenas, l'adresse en HTTPS et l'absence d'alerte sont identiques avec un certificat payant. Seul un visiteur qui ouvre le détail du certificat voit le nom de l'autorité émettrice, ce que très peu font. Le nouveau visiteur juge également le site sur l'aide proposée, les mentions légales et l'utilisation qui est faite de ses données.
Le référencement Google favorise-t-il un certificat payant ?
Le référencement Google ne favorise pas un certificat payant. Le signal HTTPS est binaire : la page est servie en HTTPS valide ou non. Le type de validation (DV, OV, EV) n'entre pas dans le classement.
Que se passe-t-il si le renouvellement automatique échoue ?
Si le renouvellement automatique échoue, le certificat expire à sa date et les navigateurs affichent une alerte bloquante. Avec Let's Encrypt, le client ACME tente le renouvellement environ 30 jours avant l'échéance : une surveillance de la date d'expiration laisse donc plusieurs semaines pour corriger la cause.
Un certificat gratuit couvre-t-il plusieurs domaines ?
Un certificat gratuit couvre plusieurs domaines : Let's Encrypt accepte jusqu'à 100 noms dans un même certificat, et le wildcard gratuit est possible par validation DNS. Sur un hébergement mutualisé, AutoSSL émet en général un certificat par domaine du compte.
