HTTPS

HTTPS signifie HTTP sécurisé. C'est le même protocole que HTTP, celui qui transporte les pages web, mais les échanges entre le navigateur et le serveur y sont chiffrés, le plus souvent avec TLS. Un tiers placé sur le réseau ne peut ni lire ni modifier ce qui circule : formulaires, mots de passe, numéros de carte, mais aussi le simple contenu des pages consultées.

Comment ça marche

Le serveur présente un certificat qui prouve qu'il est bien le site demandé. Ce certificat est délivré par une autorité de certification pour un ou plusieurs noms de domaine. Le navigateur le vérifie, puis les deux parties établissent une connexion chiffrée. Pour l'internaute, le signe visible est l'adresse qui commence par https://.

Les certificats existent en plusieurs formats : pour un seul nom, pour plusieurs domaines, ou en « wildcard » pour tous les sous-domaines d'un domaine. Dans son annonce de 2014, Google recommandait des clés de 2 048 bits.

Ce que HTTPS change pour le SEO

Le 7 août 2014, Google a annoncé utiliser HTTPS comme signal de classement. L'annonce le présentait comme un signal très léger, qui touchait alors moins de 1 % des requêtes dans le monde et pesait moins que la qualité du contenu. HTTPS ne fait donc pas gagner de positions à lui seul. Il fait partie des aspects de l'expérience sur la page que Google invite à vérifier, avec les Core Web Vitals et l'affichage sur mobile.

L'effet le plus concret se voit dans le navigateur. Depuis Chrome 68, sorti en juillet 2018, Chrome affiche la mention « Non sécurisé » à côté de toutes les pages servies en HTTP. Un formulaire de contact ou une page de paiement présentés ainsi inspirent peu confiance, ce qui peut peser sur le taux de conversion.

Passer de HTTP à HTTPS

Pour Google, ce changement est une migration avec modification des URL : chaque page change d'adresse, même si le domaine reste le même. Sa documentation sur les déplacements de site décrit les étapes :

1. Installer et configurer le certificat TLS sur le serveur.
2. Rediriger chaque URL en HTTP vers son équivalent en HTTPS par une redirection permanente côté serveur, une redirection 301 ou 308.
3. Faire pointer la balise canonical de chaque page vers sa propre URL en HTTPS.
4. Mettre à jour les liens internes pour qu'ils visent directement les URL en HTTPS.
5. Créer un sitemap XML avec les nouvelles URL et l'envoyer dans la Search Console, où les variantes HTTP et HTTPS du site doivent être validées.

Comme le domaine ne change pas, l'outil de changement d'adresse de la Search Console n'est pas nécessaire dans ce cas.

Les erreurs fréquentes

Rediriger toutes les anciennes pages vers la page d'accueil fait perdre le bénéfice des anciennes URL : chaque adresse doit renvoyer vers sa jumelle. Les chaînes de redirections, par exemple HTTP vers HTTP avec www puis vers HTTPS sans www, ralentissent l'exploration et le chargement. Les ressources appelées en HTTP depuis une page en HTTPS, comme une image ou un script, posent aussi problème : Google conseillait dès 2014 d'utiliser des URL relatives pour les ressources du même domaine.

Deux oublis bloquent carrément le référencement de la nouvelle version : interdire l'exploration du site en HTTPS dans le fichier robots.txt, ou laisser une balise noindex héritée d'un environnement de test. Google cite ces deux points dans ses recommandations. Une fois la migration faite, le rapport HTTPS de la Search Console permet de repérer les pages encore servies en HTTP.