Quelle différence entre un certificat SSL gratuit et un certificat payant ?

La semaine dernière, Michael a reçu un devis d’une société pour passer son site en HTTPS.

Google ne laisse plus vraiment le choix :

1. Depuis le 6 août 2014, c’est un facteur de classement.
2. Depuis quelques mois, un message d’alerte apparaît lorsqu’un site n’est pas sécurisé.

D’où le devis demandé par Michael… mais qui fait ressortir des tarifs différents et donc des questions :

1. Qu’est-ce qui justifie la différence de coût entre les options proposées ?
2. Que vaut un certificat gratuit ?
3. Doit-on obligatoirement recourir aux services d’un professionnel pour passer en HTTPS ?

1/ Différence entre certificat SSL gratuit et payant.

2 types de certificats couramment proposés :

1. Certificat DV : il certifie le nom de domaine.
2. Certificat EV : il certifie le nom de domaine + la société éditrice ; des vérifications sont menées par l’émetteur.

Exemple de tarifs avec OVH :

2 tarifs sont proposés pour le certificat DV, Let’s Encrypt, gratuit, et Comodo, payant.

2/ Que vaut le certificat gratuit Let’s Encrypt ?

Après avoir fait le tour de nombreux sites de vendeurs/revendeurs, leurs arguments sont assez simples :

1. Ce qui est gratuit ne vaut rien.
2. Un certificat vaut par la confiance qu’ils inspire. Or les consommateurs et les internautes font davantage confiance aux grandes marques.
3. Les certificats de marque offrent des garanties (assurances).

Mais Let’s Encrypt possède des soutiens flamboyants… dont Google Chrome. Niveau crédibilité/confiance, what else ?

A propos de l’assurance des certificats payants, le champ couvert me semble flou pour Comodo… surtout au regard de la documentation juridique disponible seulement en anglais.

Vu le paragraphe d’exonération en responsabilité, je serai curieux de connaitre le nombre de contentieux traités par les tribunaux à ce sujet.

Au final, la différence me semble essentiellement marketing.

Quel internaute contrôle réellement l’autorité qui a délivré le certificat ? 99% d’entre eux vont se limiter au symbole de sécurité :

Ce qui comptera toujours sur un site par contre, ce sont les signaux de confiance : design, syntaxe, moyens de paiement, mentions légales, CGV…

Reste un dernier point : doit-on passer par un pro pour le mettre en place ?

3/ Gérer soi-même la mise en place du SSL ?

Avec les CMS, les sites Internet se démocratisent. Il devient de plus en plus simple de tout mettre en oeuvre soi-même, à l’aide d’une extension (plugin) ou d’un tutoriel.

Sur OVH par exemple, le certificat est commandé dès la création du nom de domaine. Si vous êtes sous WordPress, il suffit alors de l’activer avec un plugin type Really Simple SSL.

Pour d’autres sites, je vous recommande par exemple Cloudflare, qui propose le SSL « gratuit et un clic« .

Attention : il s’agit d’une promesse commerciale parfois excessive.

Toutefois, les anglophones optimistes dévoreront l’article suivant : https://css-tricks.com/switching-site-https-shoestring-budget

Les autres pourront rationnellement faire appel à un prestataire de confiance :].