Le HTTPS chiffre les échanges entre le navigateur du visiteur et votre serveur. Il fait aussi deux choses qu'on oublie souvent : il authentifie le site, puisque le certificat prouve que le navigateur parle bien au bon serveur, et il garantit que la page n'a pas été modifiée en chemin par un opérateur réseau ou un point d'accès Wi-Fi. Ces trois fonctions expliquent pourquoi les navigateurs en ont fait la norme.
Reste la question qui revient dans presque tous les audits : passer en HTTPS fait-il monter un site dans Google ? La réponse a changé depuis 2014. Le HTTPS n'est plus un avantage concurrentiel, c'est le socle. Ce qui se joue aujourd'hui n'est plus un gain de positions, mais un risque de perte de trafic : à la migration si elle est mal exécutée, ou à l'affichage si votre site reste en HTTP alors que les navigateurs s'apprêtent à le signaler par défaut.
Ce que Google a annoncé en 2014, et ce qu'il en dit aujourd'hui
Le 7 août 2014, Google publie HTTPS as a ranking signal. Le texte est précis sur le dosage : il s'agit d'un signal « très léger », qui affecte « moins de 1 % des requêtes mondiales » et pèse moins que d'autres signaux comme la qualité du contenu. Google ajoute qu'il pourra le renforcer plus tard, pour encourager la migration.
Douze ans après, la documentation officielle est plus tranchée. La page Understanding page experience in Google Search results (mise à jour le 10 décembre 2025) cite bien la sécurité de la connexion parmi les critères d'une bonne expérience de page. Mais elle précise qu'en dehors des Core Web Vitals, les autres aspects de l'expérience de page n'aident pas directement une page à mieux se classer. Traduction pour un dirigeant : ne budgétez pas une migration HTTPS en espérant des positions supplémentaires.
Un effet reste documenté, et il est plus concret : quand une même page existe en HTTP et en HTTPS, Google préfère indexer la version HTTPS. Le rapport HTTPS de la Search Console indique d'ailleurs combien de vos URL indexées sont encore en HTTP et pourquoi la version sécurisée n'a pas été retenue. C'est le premier endroit à regarder quand vous vérifiez l'état de l'indexation de votre site.
L'adoption est faite : le HTTPS est le niveau de base
Trois relevés indépendants, obtenus par des méthodes différentes, convergent.
| Indicateur | Valeur | Périmètre et méthode |
|---|---|---|
| Sites qui redirigent par défaut vers HTTPS | 90,0 % | W3Techs, relevé de septembre 2026, échantillon de plus de 20 millions de sites du « web pertinent » (domaines parqués et sites sans contenu exclus) |
| Pages chargées en HTTPS dans Firefox, monde | environ 83 % | Télémétrie Mozilla publiée par Let's Encrypt, moyenne mobile sur 14 jours arrêtée au 9 septembre 2026, utilisateurs ayant laissé la télémétrie active |
| Pages chargées en HTTPS dans Firefox, France | environ 95 % | Même source et même méthode, données filtrées sur la France |
| Domaines couverts par un certificat Let's Encrypt actif | environ 226 millions | Statistiques Let's Encrypt au 9 septembre 2026 : 226 millions de domaines enregistrés actifs, 703 millions de noms de domaine complets |
L'écart entre les 90 % de sites et les 83 % de pages vues dans Firefox n'est pas contradictoire : la seconde mesure inclut les adresses IP locales, les intranets et les équipements internes, encore largement en HTTP. Sur le web public français, le HTTPS est la règle.
Ce qui se passe si votre site reste en HTTP
Depuis Chrome 68, en juillet 2018, le navigateur affiche « Non sécurisé » dans la barre d'adresse de toutes les pages HTTP. Le changement de 2026 va nettement plus loin. Dans un billet du 28 octobre 2025, l'équipe sécurité de Chrome annonce l'activation par défaut du réglage « Toujours utiliser des connexions sécurisées » dans sa variante « sites publics » : en avril 2026 avec Chrome 147 pour le milliard d'utilisateurs inscrits à la Protection renforcée, puis par défaut pour tous les utilisateurs en octobre 2026 avec Chrome 154.
Concrètement, un visiteur qui arrive sur un site public en HTTP devra franchir un avertissement avant d'accéder à la page. Google précise que l'alerte ne se déclenche que sur les sites nouveaux ou rarement visités, et que dans ses tests l'utilisateur médian en voyait moins d'une par semaine. Pour un site vitrine qui vit de premières visites venues de la recherche, c'est exactement le cas de figure défavorable.
Deux conséquences techniques s'ajoutent, moins visibles. Les navigateurs ne déploient HTTP/2 et HTTP/3 que sur des connexions chiffrées : rester en HTTP prive votre site de ces gains, sujet que nous détaillons dans notre page sur l'optimisation de la vitesse d'un site. Et de nombreuses fonctions du navigateur (géolocalisation, service workers, notifications) sont réservées aux contextes sécurisés, donc inaccessibles en HTTP.
Migrer de HTTP vers HTTPS sans perdre de positions
Google traite le passage en HTTPS comme un déménagement de site avec changement d'URL, et publie une marche à suivre pour ce type d'opération. Le cadre est simple ; le risque est dans l'exécution.
- Installez et testez le certificat sur le serveur avant toute redirection, en vérifiant qu'il couvre bien le domaine et le sous-domaine www.
- Redirigez en 301 (ou 308), côté serveur, chaque URL HTTP vers son équivalent HTTPS exact. Pas de chaîne de redirections, pas de renvoi global vers la page d'accueil.
- Corrigez le contenu mixte : images, scripts, feuilles de style et polices encore appelés en http:// dans le code, les thèmes ou la base de données. Le navigateur bloque ces ressources, ce qui casse la mise en page.
- Mettez à jour les URL canoniques, les liens internes, le sitemap, le fichier robots.txt et les balises hreflang.
- Ajoutez une propriété de domaine dans la Search Console. Le conseil de 2014, qui consistait à déclarer deux propriétés distinctes en HTTP et en HTTPS, n'a plus d'objet : une propriété de domaine couvre les deux protocoles et tous les sous-domaines.
- Conservez les redirections au moins un an : c'est la durée que Google recommande explicitement pour un changement d'URL, le temps que tous les signaux soient transférés.
- Surveillez pendant six à huit semaines : couverture d'indexation, pages avec redirection, rapport HTTPS, positions sur vos requêtes principales et journaux serveur.
C'est le type de contrôle que nous menons dans un audit technique SEO, où la migration de protocole se vérifie URL par URL plutôt qu'à l'œil sur la page d'accueil.
HSTS : utile, mais pas le premier jour
L'en-tête Strict-Transport-Security demande au navigateur de n'utiliser que le HTTPS pour votre domaine pendant une durée que vous fixez. Il supprime la toute première requête en clair, donc la fenêtre d'interception. Deux précautions : commencez par une valeur de max-age courte, le temps de vérifier que l'ensemble du site répond bien en HTTPS ; et n'inscrivez votre domaine sur la liste de préchargement des navigateurs qu'une fois la migration stabilisée, car le retrait de cette liste prend plusieurs mois.
Certificats : ce qui a changé depuis vos derniers réglages
Le certificat n'est plus un poste de coût. Let's Encrypt, autorité de certification à but non lucratif, en délivre gratuitement à une échelle industrielle : environ 9 millions de certificats émis le 9 septembre 2026, pour 686 millions de certificats actifs. Deux évolutions imposent en revanche d'automatiser.
D'abord, Let's Encrypt a cessé d'envoyer des e-mails d'alerte avant expiration le 4 juin 2025, en invoquant la généralisation du renouvellement automatique, le coût du service et la conservation de millions d'adresses e-mail. Ensuite, la durée de vie maximale des certificats TLS publics se raccourcit, selon un calendrier voté le 11 avril 2025 par le CA/Browser Forum, l'instance qui réunit autorités de certification et éditeurs de navigateurs.
| Certificat émis | Validité maximale |
|---|---|
| Jusqu'au 14 mars 2026 | 398 jours |
| À partir du 15 mars 2026 | 200 jours |
| À partir du 15 mars 2027 | 100 jours |
| À partir du 15 mars 2029 | 47 jours |
Un certificat émis aujourd'hui vit donc au maximum 200 jours. Le renouvellement manuel noté dans un agenda n'est plus tenable : un client ACME (certbot, acme.sh ou le module intégré à votre hébergement) doit s'en charger, et une supervision doit vous alerter en cas d'échec. Un certificat expiré ne dégrade pas votre classement, il rend le site inaccessible, ce qui est bien pire.
Côté conformité, la CNIL recommande dans sa fiche « Sécuriser les sites web » (mise à jour du 14 mars 2024) de mettre en œuvre TLS sur tous les sites, en n'utilisant que les versions récentes du protocole, et de le rendre obligatoire sur toutes les pages d'authentification ou affichant des données personnelles.
Deux chiffres à ne plus citer
Ce sujet traîne des statistiques recopiées d'article en article : « 85 % des consommateurs évitent les sites non sécurisés », « le HTTPS augmente les conversions de 42 % ». La version précédente de cet article les reprenait ; nous les avons retirées, faute de pouvoir remonter à une étude publiée, datée et méthodologiquement décrite. Les analyses de corrélation de 2015 et 2016, qui montraient les sites HTTPS mieux classés, ont connu un autre sort : leurs pages ne sont plus en ligne, et une corrélation mesurée en pleine vague de migrations ne dit rien de la causalité.
La question se pose autrement en 2026. Le HTTPS ne rapporte pas de points de classement. Son absence, elle, coûte des visites, de la confiance et bientôt un écran d'avertissement avant l'entrée sur votre site.
Questions fréquentes
Le HTTPS fait-il monter un site dans Google ?
Non, ou de façon négligeable. Google l'a annoncé en 2014 comme un signal très léger touchant moins de 1 % des requêtes, et sa documentation actuelle indique que les aspects d'expérience de page autres que les Core Web Vitals n'aident pas directement une page à mieux se classer. En revanche, entre une version HTTP et une version HTTPS d'une même page, Google indexe la version sécurisée.
Vais-je perdre du trafic en migrant de HTTP vers HTTPS ?
Pas si les redirections sont propres. Chaque URL HTTP doit être redirigée en 301 vers son équivalent HTTPS exact, sans chaîne de redirections ni renvoi vers la page d'accueil. Les pertes observées viennent presque toujours d'un plan de redirections incomplet, de balises canoniques restées en HTTP ou de contenu mixte bloqué.
Un certificat gratuit Let's Encrypt vaut-il un certificat payant ?
Pour le chiffrement et pour les navigateurs, oui : le niveau de sécurité technique est identique, et Let's Encrypt sécurise plusieurs centaines de millions de noms de domaine. Un certificat payant apporte surtout une garantie contractuelle, un support et, pour les certificats à validation étendue, une vérification d'identité de l'entreprise. Aucun de ces éléments n'a d'effet sur le référencement.
Combien de temps faut-il conserver les redirections HTTP vers HTTPS ?
Google recommande de les maintenir au moins un an après un changement d'URL, le temps que tous les signaux soient transférés vers les nouvelles adresses. Dans les faits, il est plus sûr de les garder indéfiniment, car des liens externes anciens continueront de pointer vers les URL en HTTP.
Qu'est-ce que le contenu mixte et pourquoi pose-t-il problème ?
C'est une page servie en HTTPS qui appelle encore des ressources en http:// : images, scripts, feuilles de style ou polices. Les navigateurs bloquent ou dégradent ces ressources, ce qui casse l'affichage ou les fonctionnalités. La correction passe par une réécriture des URL dans les fichiers du site et dans la base de données.
Faut-il déclarer deux propriétés Search Console, HTTP et HTTPS ?
Ce conseil datait d'avant l'arrivée des propriétés de domaine. Aujourd'hui, une seule propriété de domaine couvre les deux protocoles, le www et les sous-domaines, et donne accès au rapport HTTPS qui compare les URL indexées en HTTP et en HTTPS.
Super article ! Je rejoins Sylvain quand il dit que ce n'est pas la peine de passer au HPPTS si ce n'est qu'une question d'améliorer son SEO.
Si c'est que pour le SEO, alors rien ne presse, attendons...