Le HTTPS est la version chiffrée du protocole HTTP. Il garantit que les données échangées entre le navigateur et le serveur ne peuvent être ni lues ni modifiées en route. Un site sécurisé en HTTPS affiche une adresse commençant par https:// et repose sur un certificat délivré par une autorité de certification. Côté référencement, Google en fait un signal de classement depuis 2014, mais volontairement léger : le vrai enjeu se joue aujourd’hui du côté des navigateurs, qui s’apprêtent à bloquer l’accès aux sites restés en HTTP.
Votre site est encore en HTTP, ou sa migration vous inquiète ? Sokeo, agence de développement informatique à Marseille, prend en charge le passage en HTTPS et les redirections associées sans casser vos positions. Demandez votre devis gratuit et parlons de votre projet.
Qu’est-ce qu’un site en HTTPS ?
HTTPS signifie HyperText Transfer Protocol Secure. Concrètement, les échanges passent dans un tunnel chiffré par le protocole TLS, successeur du SSL que plus personne n’utilise techniquement mais dont le nom est resté dans l’expression courante « certificat SSL ». Ce chiffrement des échanges sur internet apporte trois garanties :
- la confidentialité : un tiers placé sur le réseau, par exemple sur un wifi public, ne peut pas lire ce qui transite ;
- l’intégrité : les données ne peuvent pas être altérées en chemin, ni le contenu de la page modifié par un intermédiaire ;
- l’authenticité : le certificat prouve que le serveur contacté est bien celui du domaine demandé.
Sans HTTPS, chaque formulaire de contact, chaque identifiant saisi et chaque page consultée circulent en clair. Pour un site vitrine avec un simple formulaire comme pour une boutique en ligne, la question ne se pose plus.
HTTPS et référencement : ce que Google prend vraiment en compte
Google a officialisé le HTTPS comme signal de classement en août 2014, en précisant lui-même que ce critère resterait de faible poids face à la qualité du contenu. Douze ans plus tard, le constat n’a pas changé : passer en HTTPS ne fait pas gagner de positions, cela évite d’en perdre. À contenu et notoriété équivalents, le site sécurisé est simplement départagé favorablement.
Les effets indirects, eux, pèsent davantage :
- la performance : les protocoles HTTP/2 et HTTP/3, nettement plus rapides, ne fonctionnent qu’en HTTPS. Rester en HTTP, c’est se priver de ce gain ;
- la mesure d’audience : quand un site sécurisé renvoie du trafic vers un site en HTTP, l’information de provenance est perdue. Ce trafic apparaît en « direct » dans les statistiques et fausse la lecture des performances ;
- le taux de conversion : un avertissement de sécurité affiché avant même l’arrivée sur la page suffit à faire fuir un prospect.
Autrement dit, le HTTPS est un prérequis d’hygiène technique, pas un levier. Les gains de visibilité viennent ensuite du contenu et des liens, comme sur tout travail de référencement naturel mené sérieusement.
Ce qui change en 2026 côté navigateurs
C’est là que se situe la vraie actualité. Depuis Chrome 68 en 2018, les pages HTTP sont marquées « non sécurisé » dans la barre d’adresse. Google va nettement plus loin : le paramètre « Toujours utiliser des connexions sécurisées » devient actif par défaut.
- Avril 2026 : activation dans Chrome 147 pour les utilisateurs de la Protection renforcée de Safe Browsing, soit plus d’un milliard de personnes.
- Octobre 2026 : généralisation à tous les utilisateurs avec Chrome 154.
Une fois ce réglage actif, Chrome tente systématiquement la connexion en HTTPS et affiche un avertissement demandant confirmation avant d’ouvrir un site public qui n’en dispose pas. Les adresses privées, intranets et équipements en réseau local ne sont pas concernées. La conséquence est simple à formuler : à partir de l’automne 2026, un site public resté en HTTP ne perdra pas quelques positions, il perdra des visiteurs avant même l’affichage de la page.
Le certificat, et la contrainte que tout le monde oublie
Obtenir un certificat n’est plus un sujet budgétaire. Les certificats DV, qui valident la propriété du domaine, sont délivrés gratuitement par des autorités comme Let’s Encrypt et couvrent parfaitement les besoins d’un site vitrine. Les certificats OV et EV, qui vérifient l’existence de l’entreprise, gardent un intérêt sur des services sensibles, mais depuis 2019 les navigateurs ne leur accordent plus d’affichage privilégié dans la barre d’adresse : payer plus cher ne rassure plus visuellement l’internaute.
La vraie contrainte est ailleurs. Le CA/Browser Forum a acté en avril 2025 une réduction par paliers de la durée de vie des certificats publics :
- 200 jours maximum depuis le 15 mars 2026, contre 398 auparavant ;
- 100 jours à partir du 15 mars 2027 ;
- 47 jours à partir du 15 mars 2029.
Le renouvellement annuel posé dans un agenda partagé ne tient donc plus. Il faut automatiser l’émission et le renouvellement, sous peine de voir un jour le site devenir inaccessible sur une simple expiration. C’est un point à traiter avec le reste de la sécurisation de l’application web, au même titre que les mises à jour et les sauvegardes.
Migrer en HTTPS sans perdre son référencement
Une migration mal conduite peut coûter du trafic pendant plusieurs semaines. Les points de vigilance sont toujours les mêmes :
- Une redirection 301 unique de chaque URL HTTP vers son équivalent HTTPS, sans chaîne intermédiaire.
- La mise à jour des références internes : liens, balises canoniques, sitemap, fichiers de configuration et scripts tiers.
- L’élimination du contenu mixte, ces images ou scripts encore appelés en HTTP qui empêchent la page d’être considérée comme entièrement sécurisée.
- La déclaration en Search Console d’une propriété distincte pour la version HTTPS, afin de conserver le suivi.
- Une surveillance des positions et des erreurs pendant les semaines qui suivent, le temps que Google bascule l’ensemble de l’index.
Ces précautions rejoignent celles de toute refonte de site web réussie : ce n’est pas le changement technique qui fait perdre du trafic, c’est le plan de redirections bâclé.
À retenir
Le HTTPS n’est plus un avantage concurrentiel, c’est un socle. Il pèse peu directement dans l’algorithme de Google, mais il conditionne la performance, la fiabilité de vos statistiques et, dès l’automne 2026, la simple capacité de vos visiteurs à atteindre votre site sans avertissement de sécurité. Le point à surveiller cette année n’est pas d’obtenir un certificat, c’est d’automatiser son renouvellement. Chez Sokeo, ces réglages font partie du socle technique de chaque application web sur mesure que nous livrons.
