Un client m'appelle l'autre matin, paniqué. Chrome affiche « Non sécurisé » à côté de son nom de domaine, et il a reçu deux mails de prospects qui hésitent à laisser leurs coordonnées. « Mais qu'est-ce que j'ai fait de mal ? » Rien, justement. Enfin, si : il n'a jamais migré en HTTPS. Son site tourne encore sur le bon vieux HTTP des années 90, et en 2026, ça se voit comme un trou dans une chemise.
Le paradoxe, c'est qu'on m'a posé cette question sur HTTPS versus HTTP au moins une centaine de fois, et la réponse tient en une ligne : HTTPS est HTTP avec un tunnel chiffré autour. Mais cette ligne cache une mécanique qui vaut la peine d'être comprise, surtout si vous devez migrer un site sans tout casser.
Points clés à retenir
- HTTP transporte la donnée en clair ; HTTPS la chiffre via TLS avant l'envoi.
- Le cadenas du navigateur ne dit pas que le site est honnête, il dit que la connexion est chiffrée.
- Passer en HTTPS demande un certificat, des redirections 301 propres et la correction du contenu mixte.
- Un certificat Let's Encrypt ne coûte rien en argent, mais coûte du temps si vous gérez mal la bascule.
- HTTP/2 et HTTP/3 sont des versions du protocole, pas des niveaux de sécurité.
Quelle différence entre HTTP et HTTPS ?
HTTP (HyperText Transfer Protocol) est le langage que votre navigateur utilise pour demander une page à un serveur et recevoir la réponse. Une requête part, une réponse revient. Point. Le problème ? Tout ce qui circule entre les deux est lisible par n'importe qui sur le chemin : un opérateur réseau, un wifi de gare public, un voisin un peu trop curieux.
Ce que le « S » change vraiment
HTTPS, c'est le même protocole HTTP, mais encapsulé dans une couche de chiffrement TLS (l'ancien SSL). Concrètement, trois choses se passent avant même que la page ne parte :
- L'authentification — le serveur prouve son identité avec un certificat.
- L'échange de clés — navigateur et serveur se mettent d'accord sur une clé secrète commune (échange asymétrique), puis basculent sur un chiffrement symétrique beaucoup plus rapide.
- L'intégrité — la donnée ne peut pas être modifiée en route sans casser la vérification.
Cette danse s'appelle le handshake TLS. Elle prend quelques dizaines de millisecondes, et une fois négociée, tout le trafic est chiffré jusqu'à la fermeture de la connexion.
Au fait, c'est quoi un HTTP, précisément ?
Si vous avez tapé « cest quoi HTTP » dans un moteur de recherche, la définition courte : c'est un protocole de communication sans état, basé sur un modèle requête/réponse. Sans état, cela veut dire qu'il ne se souvient pas de la requête précédente — c'est précisément pour ça que les cookies ont été inventés pour compenser cette amnésie. Et « HTTP signification en anglais » : HyperText Transfer Protocol, protocole de transfert hypertexte. Rien de mystérieux.
| Critère | HTTP | HTTPS |
|---|---|---|
| Chiffrement | Aucun, données en clair | TLS sur toute la connexion |
| Port par défaut | 80 | 443 |
| Certificat | Non requis | Obligatoire |
| Affichage navigateur | « Non sécurisé » | Cadenas fermé |
| Formulaires sensibles | À éviter absolument | Recommandé partout |
| Coût | Gratuit | Gratuit (Let's Encrypt) ou payant (DV/OV/EV) |
Vous noterez au passage que le port 443 est ce qui permet de faire cohabiter les deux versions sur le même serveur pendant une migration. C'est un détail qui sauve des vies quand on bascule un site en production.
C'est quoi un site HTTPS, et que voit-on dans le navigateur ?
Un site HTTPS est simplement un site servi en HTTP sur une connexion chiffrée. Mais pour vous, surfeur, ça se traduit par des signaux visibles. Chrome, Firefox, Safari : tous affichent un cadenas fermé à côté de l'URL. Ce cadenas n'a jamais dit « ce site est fiable ». Il dit « la connexion entre ce navigateur et ce serveur est chiffrée ».
J'insiste, parce que j'ai vu passer des internautes qui visitaient un site de phishing en HTTPS et repartaient rassurés. Le cadenas est un garant technique, pas moral. Une arnaque bien ficelée peut parfaitement avoir un certificat valide — Let's Encrypt en émet gratuitement, sans vérifier l'honnêteté du demandeur.
Comment reconnaître HTTP et HTTPS dans la barre d'adresse ?
Regardez le préfixe. « http:// » = non chiffré, « https:// » = chiffré. Dans la plupart des navigateurs modernes, le préfixe HTTP disparaît même et laisse place à un avertissement explicite. Et si vous tapez du texte sensible (mot de passe, numéro de carte) sur un formulaire en HTTP, plusieurs navigateurs affichent aujourd'hui un bandeau d'alerte.
Pourquoi tout le web est passé en HTTPS ?
Pour trois raisons qui se combinent : la disponibilité de certificats gratuits (Let's Encrypt), la pression des navigateurs qui dégradent l'affichage des sites HTTP, et l'obligation RGPD pour tout formulaire qui collecte des données personnelles. Un site e-commerce en HTTP est en pratique injouable en 2026. Même une simple page avec un formulaire de contact l'est.
Comment passer de HTTP à HTTPS ?
Avouons-le, c'est là que ça devient intéressant. J'ai migré mon premier site évangélique en HTTPS en une après-midi. Le deuxième, plus gros, m'a pris trois semaines à cause d'un contenu mixte que je n'avais pas vu. Voici l'ordre de marche qui évite les cauchemars.
Les étapes concrètes, dans l'ordre
- Obtenir le certificat — Let's Encrypt via votre hébergeur, souvent en un clic. Sinon, un certificat payant pour les besoins spécifiques (EV, wildcard multi-domaines).
- Installer et vérifier — testez le certificat avant de basculer, outils en ligne gratuits pour cela.
- Mettre en place les redirections 301 — toutes les URL HTTP doivent renvoyer vers leur équivalent HTTPS. En un seul `.htaccess` ou dans la config Nginx, ça tient en quelques lignes.
- Chasser le contenu mixte — images, scripts, iframes encore chargés en `http://` sur une page HTTPS. C'est LE piège. Chrome bloque, Firefox prévient, et votre page casse silencieusement.
- Mettre à jour les URL canoniques et le sitemap — le SEO en dépend.
- Activer HSTS — en-tête qui force le navigateur à n'utiliser que du HTTPS. Dernière étape seulement, une fois tout le reste stable.
Mon erreur la plus coûteuse a été de vouloir tout faire le vendredi soir. Une redirection mal configurée a envoyé 40 % de mon trafic sur une page 404 pendant 6 heures. Le lundi, j'avais perdu deux positions en moyenne sur mes pages principales. Remis en 3 semaines, mais quelle frayeur. Migrez un mardi matin, jamais la veille d'un week-end.
Combien ça coûte vraiment ?
Le certificat basic : zéro euro avec Let's Encrypt. Le temps de la migration, lui, dépend de votre site. Un blog statique : une heure. Un e-commerce avec 5 000 produits et des images hébergées sur un CDN oublié : comptez une semaine à temps partiel. Et si vous avez des API tierces qui appellent vos endpoints en HTTP, elles doivent toutes être mises à jour côté client, sinon vous ne le verrez qu'à la première erreur 500.
HTTP/2 et HTTP/3 changent-ils la donne ?
Spoiler : ce sont deux choses différentes. HTTP/2 et HTTP/3 sont des évolutions du protocole HTTP (multiplexage, compression d'en-têtes, transport en UDP pour HTTP/3). HTTPS, c'est la couche de chiffrement par-dessus. Vous pouvez avoir HTTP/2 en clair (rarement utilisé) et HTTPS en HTTP/1.1. La confusion est fréquente — j'ai moi-même mis six mois à comprendre que « HTTP/2 » ne signifiait pas « plus sécurisé ». La plupart des serveurs modernes servent aujourd'hui en HTTP/2 ou HTTP/3, mais toujours par-dessus TLS.
Ce qui tourne encore en HTTP en 2026
Il reste des sites en HTTP. Pas beaucoup, mais observable : des archives de recherche, des intranets d'entreprise, quelques sites institutionnels d'ancienne génération, et des serveurs de test oubliés. Pour l'utilisateur, la règle est simple : ne saisissez jamais une donnée sensible sur une page en `http://`. La connexion est lisible par toute machine sur le trajet.
Et pour le propriétaire d'un tel site, la vraie question n'est plus « faut-il migrer ». C'est « pourquoi ne pas l'avoir fait hier ». Le certificat est gratuit, l'outillage est mature, les tutoriels pullulent. Ce qui coûte cher aujourd'hui, c'est l'inaction.
Le débat HTTPS versus HTTP est, en 2026, un peu comme demander si on devrait fermer sa porte à clé en quittant son appartement. La réponse est évidente, et pourtant on trouve toujours quelqu'un pour vous expliquer qu'il connaît son quartier. Sauf que sur Internet, votre quartier, c'est 5 milliards d'inconnus avec un ordinateur et une connexion publique.
La prochaine fois que vous verrez un cadenas gris dans la barre d'adresse, souvenez-vous qu'il ne dit rien de la personne derrière le site. Il dit juste qu'entre votre machine et la sienne, le tunnel est aveugle. C'est déjà énorme. Et c'est le minimum qu'on puisse offrir à quelqu'un qui vous confie son adresse mail.
