Un lundi matin de janvier, le standard d'un cabinet reçoit trois appels en une heure : des clients signalent que le navigateur affiche un avertissement rouge avant d'ouvrir le site, avec une mention de connexion non privée. Rien n'a été modifié sur le site depuis des mois, aucune mise à jour n'a été lancée, personne n'a touché à l'hébergement. Le certificat a simplement expiré pendant le week-end, et le renouvellement automatique était cassé depuis six semaines sans que personne le sache.
Cet incident est l'un des plus fréquents que nous reprenons, et l'un des plus faciles à éviter. Il ne demande ni budget particulier ni compétence rare : il demande une surveillance de date et un renouvellement qui fonctionne réellement.
Ce que le certificat garantit, et ce qu'il ne garantit pas
Quand vous visitez une adresse commençant par https://, deux choses se produisent. Le serveur présente d'abord un certificat, c'est-à-dire un fichier signé par une autorité reconnue qui atteste que ce serveur est bien autorisé à répondre pour votre nom de domaine. Le navigateur et le serveur négocient ensuite une clé de chiffrement, et l'ensemble des échanges devient illisible pour quiconque se trouve sur le trajet. C'est le protocole TLS, souvent encore appelé SSL par habitude, du nom de son ancêtre abandonné depuis longtemps.
Le bénéfice est réel et concret. Sans cette protection, le mot de passe saisi par votre comptable sur l'interface d'administration, ou le message envoyé par un prospect via votre formulaire de contact, circulent en clair sur le réseau, y compris sur le Wi-Fi partagé d'un hôtel ou d'un aéroport. Les navigateurs marquent d'ailleurs désormais tout formulaire non chiffré comme non sécurisé, ce qui suffit à faire renoncer un visiteur.
Il faut être aussi net sur ce que le cadenas ne prouve pas. Il n'indique pas que votre site est à jour, ni que votre thème est propre, ni que vos formulaires arrivent à destination. Un site compromis derrière un certificat valide reste un site compromis, avec un cadenas rassurant, et c'est précisément ce qui trompe les visiteurs sur les pages frauduleuses. Le certificat protège le transport, pas le contenu. La protection du contenu passe par les mises à jour et la surveillance, sujet que nous traitons dans WordPress accumule les failles.
Pourquoi ces certificats expirent, et pourquoi c'est voulu
Un certificat porte une date de fin de validité, et cette contrainte n'est pas une contrainte commerciale. Elle limite la durée pendant laquelle un certificat volé resterait exploitable. La tendance générale va vers des durées de vie de plus en plus courtes, ce qui rend l'automatisation obligatoire.
Les certificats gratuits délivrés par l'autorité Let's Encrypt sont valables trois mois et se renouvellent par un protocole automatisé nommé ACME. Le mécanisme fonctionne bien, à trois conditions : la tâche planifiée qui déclenche le renouvellement tourne réellement, le serveur reste joignable sur le port utilisé pour la validation, et les enregistrements de votre nom de domaine pointent toujours vers le bon serveur. Nous voyons cette chaîne casser régulièrement, le plus souvent après une migration d'hébergement où la tâche planifiée n'a pas été reportée, ou après l'ajout d'une règle de redirection qui bloque le chemin de validation.
Chez un hébergeur mutualisé comme Infomaniak, ce cycle est pris en charge par la plateforme et vous n'avez normalement rien à faire. Sur un serveur que vous administrez, la responsabilité vous revient entièrement. Un certificat payant, dit à validation d'organisation, se justifie dans certains contextes bancaires ou réglementaires, mais il n'apporte aucun gain de chiffrement par rapport à un certificat gratuit : la différence porte sur la vérification de l'identité de l'entreprise, pas sur la solidité de la connexion.
Le contenu mixte, ce défaut qui survit à la migration
La deuxième anomalie que nous corrigeons le plus souvent n'est pas une expiration mais un mélange. Le site est bien servi en https://, mais certaines images, feuilles de style ou scripts sont encore appelés en http://, généralement parce qu'ils ont été insérés avant le passage au chiffrement. Le navigateur bloque alors une partie de ces ressources et affiche un cadenas barré ou un avertissement.
Le symptôme visible peut être bénin, une image manquante, ou beaucoup plus gênant, une mise en page cassée sur mobile. La correction consiste à reprendre les adresses stockées en base de données, à ajuster les réglages d'adresse du site, puis à forcer la redirection de toutes les requêtes non chiffrées vers leur équivalent chiffré au niveau du serveur. Cette redirection doit être unique et propre : nous rencontrons parfois des chaînes de trois redirections successives qui ralentissent chaque visite, et qui perturbent le suivi des adresses lors d'une refonte, question détaillée dans notre article sur les redirections 301.
Quand un site abandonne ses anciennes adresses non chiffrées, il faut aussi vérifier ce qui pointe vers lui depuis l'extérieur : votre signature de courrier, votre fiche d'établissement, les annuaires professionnels et vos documents commerciaux contiennent souvent encore l'ancienne forme en clair.
Le nom de domaine expire aussi, et c'est plus grave
Le certificat n'est qu'une moitié du problème. Le nom de domaine lui-même a une date d'échéance, et son expiration produit une panne bien plus lourde : le site devient injoignable, mais surtout la messagerie s'arrête, puisque les adresses de courrier reposent sur le même domaine. Nous avons vu des entreprises perdre plusieurs jours de courrier entrant pour une carte bancaire périmée chez un registrar.
Les causes sont toujours administratives. Le domaine a été déposé par un prestataire à son propre nom, la carte enregistrée pour le prélèvement a expiré, ou les messages de rappel arrivent sur une adresse que plus personne ne consulte. Nous exigeons donc trois choses lors d'une reprise de site : que le domaine soit enregistré au nom de votre société, que le contact administratif soit une adresse relevée par plusieurs personnes, et qu'une alerte soit posée au moins trente jours avant l'échéance. Ces points de propriété sont détaillés dans notre article sur à qui appartient votre site une fois livré.
Comment nous traitons cette hygiène dans nos prestations
À la mise en ligne d'un site, facturée 120 HT, nous installons le certificat, nous forçons le chiffrement de bout en bout, nous corrigeons les adresses encore en clair dans la base et nous vérifions le résultat sur les pages principales ainsi que sur le formulaire de contact. Cette mise en ligne est offerte lorsque vous nous confiez la maintenance WordPress.
Ce contrat de 500 HT / an intègre ensuite la surveillance des deux dates qui comptent, celle du certificat et celle du domaine, avec un relevé dans le rapport mensuel. Nous ne nous contentons pas de constater qu'un renouvellement automatique est configuré : nous vérifions qu'il a effectivement produit un nouveau certificat au dernier cycle. C'est la seule manière de détecter une chaîne cassée avant que le navigateur ne l'annonce à vos clients. Sur un site créé par nos soins dès 900 HT, tout ceci est en place à la livraison. Nous intervenons à distance dans toute la France et en Suisse, avec le même montant hors taxes en euros et en francs.
Si votre cadenas a déjà clignoté, ou si vous ne savez pas quand votre certificat et votre domaine arrivent à échéance, envoyez-nous l'adresse de votre site. Nous vous rendons les deux dates, l'état du renouvellement automatique, et la liste des ressources encore appelées sans chiffrement.