Qu'est-ce que HTTPS et SSL? Comment fonctionnent les sites sécurisés, expliqué simplement

HTTPS est la version sécurisée de HTTP, le protocole que les navigateurs utilisent pour communiquer avec les sites web. Il enveloppe chaque requête et chaque réponse dans une connexion chiffrée au moyen de TLS (Transport Layer Security), de sorte que personne entre le visiteur et le site ne peut lire ou altérer ce qui est envoyé. SSL est l'ancien nom de la même idée — le protocole original que TLS a remplacé — c'est pourquoi on dit encore « certificat SSL ».

Pourquoi HTTPS est important quand on crée avec l'IA

Toute application que vous publiez doit être servie en HTTPS. Ce n'est pas seulement une bonne pratique :

Les navigateurs s'y attendent. Les sites en HTTP simple sont étiquetés « Non sécurisé », et certaines fonctionnalités des navigateurs — comme l'accès à la localisation, à la caméra et au micro, ou les service workers pour les applications hors ligne — ne fonctionnent généralement que sur les pages sécurisées (HTTPS).
Connexions et formulaires. Sans HTTPS, les mots de passe, les témoins de session (cookies) et les données de formulaire circulent en texte lisible. Quiconque se trouve sur le même Wi-Fi d'un café pourrait potentiellement les capturer.
Paiements et tiers. Les fournisseurs de paiement, la connexion OAuth et de nombreuses API exigent des URL de redirection et de rappel en HTTPS.
Confiance et recherche. Les visiteurs remarquent l'avertissement, et Google a indiqué qu'il considère HTTPS comme un signal de classement.

La bonne nouvelle : sur la plupart des plateformes d'hébergement modernes, HTTPS est configuré automatiquement. Ce dont vous avez surtout besoin, c'est de comprendre les éléments assez bien pour corriger le problème lorsqu'un domaine personnalisé ou un avertissement de contenu mixte pose problème.

Une analogie du quotidien

Envoyer des données en HTTP simple, c'est comme envoyer une carte postale : chaque employé des postes qui la manipule peut la lire, et quelqu'un pourrait même modifier le message.

HTTPS, c'est comme envoyer une enveloppe scellée et inviolable — après avoir vérifié la pièce d'identité officielle du destinataire. Le certificat est cette pièce d'identité, émise par une autorité de confiance (l'autorité de certification) qui a vérifié que le site contrôle bel et bien le domaine. Le chiffrement, c'est l'enveloppe scellée. La pièce d'identité prouve que vous écrivez à la bonne adresse; l'enveloppe garde le contenu privé.

Comment fonctionne HTTPS, simplement

Lorsqu'un navigateur ouvre https://boutique.exemple.com :

Bonjour. Le navigateur se connecte et indique les méthodes de chiffrement qu'il prend en charge.
Certificat. Le serveur envoie son certificat, qui affirme « cette clé appartient à boutique.exemple.com » et qui est signé par une autorité de certification.
Vérification. Le navigateur vérifie la signature auprès des autorités auxquelles il fait déjà confiance, s'assure que le certificat n'est pas expiré et que le domaine correspond.
Clés. Le navigateur et le serveur s'entendent sur une nouvelle clé secrète pour cette session, sans jamais l'envoyer à découvert.
Conversation chiffrée. Toutes les requêtes et réponses — pages, données de formulaire, témoins — circulent désormais chiffrées.

Cette poignée de main TLS prend quelques millisecondes et se fait automatiquement. Le visiteur voit simplement l'icône du cadenas (ou, dans certains navigateurs, une icône neutre d'informations sur le site).

Ce que HTTPS protège et ne protège pas

Protège	Ne protège pas
Les données en transit entre le navigateur et le serveur	Les données une fois rendues sur votre serveur ou dans votre base de données
Contre l'espionnage sur les Wi-Fi publics	Contre un site malveillant ou frauduleux
Contre la modification des pages en cours de route	Contre les bogues de votre application, comme l'absence de vérification des autorisations
Les témoins et les mots de passe pendant leur envoi	Contre les mots de passe faibles ou les clés d'API divulguées

HTTPS chiffre le contenu des requêtes, y compris le chemin de la page et la chaîne de requête. Mais le nom de domaine que vous visitez reste généralement visible pour les réseaux sur le parcours. C'est une raison de plus de ne jamais mettre de données personnelles dans les URL : elles finissent aussi dans les journaux et l'historique du navigateur.

Exemple concret : connecter un domaine personnalisé

Supposons que vous publiez une application de réservation et que vous la voulez à reservation.monstudioyoga.com :

Vous ajoutez un enregistrement DNS qui pointe reservation.monstudioyoga.com vers votre hébergeur. Voir le fonctionnement des domaines et du DNS.
L'hébergeur prouve à une autorité de certification qu'il contrôle ce nom — généralement en répondant à un défi sur ce domaine — et reçoit un certificat.
L'hébergeur installe le certificat et le renouvelle automatiquement avant son expiration. Les certificats ont volontairement une courte durée de vie, donc le renouvellement automatique est essentiel.
Les visiteurs qui ouvrent http://reservation.monstudioyoga.com sont redirigés vers https://.

Si l'étape 1 est mal faite — l'enregistrement pointe ailleurs, ou un proxy se trouve au milieu —, l'étape 2 peut échouer et les visiteurs verront une erreur de certificat. C'est le problème HTTPS le plus courant lorsqu'on connecte un domaine personnalisé.

Termes clés

Terme	Signification
TLS	Transport Layer Security, le protocole de chiffrement derrière HTTPS.
SSL	Secure Sockets Layer, le prédécesseur désuet de TLS. Le nom persiste.
Certificat	Un fichier signé qui associe un domaine à une clé publique.
Autorité de certification (AC)	Une organisation en laquelle les navigateurs ont confiance pour émettre des certificats, comme Let's Encrypt.
Validation de domaine (DV)	Un certificat qui prouve le contrôle du domaine — celui qu'utilisent presque tous les sites.
Certificat générique (wildcard)	Couvre tous les sous-domaines d'un niveau, comme `*.exemple.com`.
Contenu mixte	Une page HTTPS qui charge certaines ressources en HTTP simple. Les navigateurs les bloquent ou affichent un avertissement.
HSTS	Un en-tête qui indique aux navigateurs de toujours utiliser HTTPS pour votre site à partir de maintenant.
Port 443	Le port standard de HTTPS (HTTP utilise le port 80).

Idées reçues courantes

« Le cadenas signifie que le site est digne de confiance. » Cela signifie que la connexion est privée et que le domaine correspond. Les fraudeurs obtiennent aussi des certificats.
« HTTPS n'est nécessaire que pour les pages de paiement. » Toute page avec une connexion, un formulaire ou un témoin en a besoin — c'est le cas de presque toutes les applications. Utilisez-le partout.
« Les certificats coûtent cher. » Les certificats gratuits et reconnus sont courants, et la plupart des hébergeurs les gèrent pour vous.
« HTTPS rend mon application sécuritaire. » Il sécurise la connexion. Votre application a toujours besoin de vérifications d'autorisation côté serveur, d'une gestion sûre des secrets et de la validation des entrées. Voir la liste de contrôle de sécurité pour les applications créées par IA.
« HTTPS ralentit les sites. » Le TLS moderne ajoute très peu de frais généraux, et des fonctionnalités comme HTTP/2, qui accélèrent les sites, exigent généralement HTTPS dans les navigateurs.

Corriger les problèmes HTTPS courants

Symptôme	Cause probable
« Votre connexion n'est pas privée »	Le certificat ne couvre pas exactement ce domaine, est expiré ou n'a pas encore été émis
Fonctionne avec `www.` mais pas avec le domaine nu (ou l'inverse)	Un seul des deux noms a un DNS et un certificat
Pas de cadenas, « Non sécurisé » sur certaines pages	Contenu mixte : une image, un script ou une police chargé via `http://`
Erreur de certificat juste après avoir connecté un domaine	Propagation DNS en cours, ou un proxy en amont qui bloque la vérification du certificat

Quoi demander à votre générateur d'IA

« Assure-toi que chaque image, script et police se charge en HTTPS ou avec une URL relative — aucun lien http://. »
« Redirige tout le trafic HTTP vers HTTPS. »
« Configure les témoins de session avec les indicateurs Secure et HttpOnly. »
« Utilise https:// pour chaque URL de rappel OAuth, de paiement et de webhook. »
« Mon domaine personnalisé affiche une erreur de certificat — quel enregistrement DNS l'hébergeur attend-il? »

HTTPS dans Mythex

Lorsque vous connectez un domaine personnalisé sur Mythex (une fonctionnalité Pro), vous ajoutez un enregistrement CNAME qui pointe vers la cible slug.mythex.ai affichée par Mythex, cliquez sur Vérifier, et Mythex émet automatiquement le HTTPS pour le domaine. La documentation couvre les deux écueils les plus fréquents : si votre DNS est chez Cloudflare, réglez l'enregistrement sur « DNS seulement » (nuage gris) plutôt que proxifié, afin que Mythex puisse émettre le certificat; et le DNS peut être vérifié avant que HTTPS soit entièrement configuré, alors attendez quelques minutes et vérifiez de nouveau. Voir les domaines personnalisés dans la documentation et notre guide sur la connexion d'un domaine personnalisé.

Questions

Quelle est la différence entre HTTP et HTTPS?

HTTP envoie les données entre le navigateur et le site sous forme de texte lisible. HTTPS, c'est HTTP envoyé dans une connexion chiffrée TLS : les personnes sur le même réseau ou sur le trajet ne peuvent ni lire ni modifier ce qui est envoyé, et le navigateur peut vérifier qu'il communique bien avec le vrai site.

SSL et TLS, est-ce la même chose?

TLS est le successeur moderne de SSL. Toutes les versions de SSL sont désuètes et non sécurisées; les sites sécurisés d'aujourd'hui utilisent TLS. On dit encore « certificat SSL » par habitude, mais les certificats sont utilisés avec TLS.

Le cadenas signifie-t-il qu'un site est sécuritaire?

Non. Le cadenas indique que la connexion est chiffrée et que le certificat correspond au domaine. Un site frauduleux peut aussi avoir un certificat valide. Cela vous assure que personne ne peut espionner la connexion, mais pas que le propriétaire du site est digne de confiance.

Dois-je payer pour un certificat SSL?

En général, non. Les autorités de certification gratuites et automatisées, comme Let's Encrypt, émettent des certificats que les navigateurs reconnaissent, et la plupart des plateformes d'hébergement les obtiennent et les renouvellent pour vous. Les certificats payants ajoutent surtout du soutien ou des vérifications d'identité supplémentaires.

Pourquoi mon site affiche-t-il « Non sécurisé »?

Les causes fréquentes sont l'ouverture du site en http:// plutôt qu'en https://, un certificat expiré ou qui ne couvre pas exactement ce domaine, ou une page qui charge des images ou des scripts en http:// simple (contenu mixte).