Comment obtenir un certificat SSL gratuit

À quoi sert un certificat SSL

À proprement parler, les connexions actuelles utilisent TLS, le successeur de SSL, mais tout le monde dit encore « certificat SSL ». Un certificat remplit deux rôles :

• Chiffrement : les mots de passe, formulaires et paiements circulent chiffrés, si bien que personne sur le réseau ne peut les lire ni les modifier.
• Identité : une autorité de certification (CA) a vérifié que la personne qui a demandé le certificat contrôle le domaine.

Les certificats gratuits sont à validation de domaine (DV) : la CA vérifie seulement que vous contrôlez le domaine. Le chiffrement est exactement aussi solide que celui d'un certificat payant. Les certificats payants OV et EV ajoutent des vérifications sur l'organisation derrière le site, ce que certaines entreprises recherchent, mais les navigateurs affichent le même cadenas pour tous.

Les options gratuites comparées

Tous chiffrent aussi bien. La différence tient à la façon dont ils sont émis et renouvelés, et cela compte un peu plus chaque année.

Pourquoi le renouvellement automatique est essentiel

La durée de vie des certificats raccourcit dans tout le secteur. Selon les règles du CA/Browser Forum, un certificat public peut durer au maximum 200 jours depuis mars 2026, 100 jours à partir de mars 2027 et 47 jours à partir de mars 2029.

Les certificats Let's Encrypt sont valables 90 jours aujourd'hui. Ses certificats par défaut passeront à 64 jours en février 2027 et à 45 jours en février 2028. Let's Encrypt a aussi cessé en 2025 d'envoyer des e-mails de rappel avant expiration : personne ne vous préviendra plus qu'un certificat arrive à échéance.

La leçon pratique : ne renouvelez jamais vos certificats à la main. Utilisez un outil qui s'en charge tout seul, comme AutoSSL dans cPanel ou Certbot sur un VPS, et vérifiez de temps en temps qu'il fonctionne.

En hébergement mutualisé : AutoSSL dans cPanel

Sur un hébergement cPanel, il n'y a généralement rien à faire. AutoSSL demande un certificat Let's Encrypt pour chaque domaine du compte qui pointe vers le serveur, l'installe et le renouvelle avant qu'il n'expire.

1. Faites pointer votre domaine vers l'hébergement : renseignez les serveurs de noms ou l'enregistrement A fournis par votre hébergeur, puis attendez la mise à jour du DNS.
2. Dans cPanel, ouvrez Security → SSL/TLS Status. Chaque domaine indique s'il est couvert, s'il arrive à expiration ou s'il rencontre un problème avec AutoSSL.
3. Si un domaine n'est pas encore couvert, cliquez sur Run AutoSSL. Cela ne fonctionne qu'une fois que le domaine pointe vers le serveur.
4. Ouvrez votre site en https:// et vérifiez le cadenas. Sous WordPress, passez aussi l'adresse du site en https://.

Sur l'hébergement web HytHost, AutoSSL avec Let's Encrypt est actif sur chaque offre et couvre chaque domaine et sous-domaine que vous ajoutez dès qu'il pointe vers le serveur. Pour tout ce que cPanel sait faire d'autre, lisez qu'est-ce que cPanel.

Sur un VPS : Certbot avec nginx

Sur votre propre serveur, Certbot, développé par l'EFF, obtient les certificats Let's Encrypt et les renouvelle. La méthode officielle sur Ubuntu passe par le paquet snap :

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Vérifiez que l'enregistrement A de votre domaine pointe vers le VPS, que nginx a un server_name pour lui et que les ports 80 et 443 sont ouverts dans le pare-feu. Lancez ensuite :

sudo certbot --nginx -d example.com -d www.example.com

Certbot prouve que vous contrôlez le domaine, installe le certificat dans votre configuration nginx et peut rediriger HTTP vers HTTPS. Il installe aussi un minuteur qui renouvelle les certificats automatiquement. Testez le renouvellement une fois :

sudo certbot renew --dry-run

Derrière Cloudflare

Si votre domaine passe par Cloudflare avec le nuage orange activé, les visiteurs se connectent à Cloudflare, qui leur présente son certificat gratuit Universal SSL. Cela ne couvre que la moitié du trajet : Cloudflare se connecte toujours à votre serveur.

• Réglez le mode SSL/TLS sur Full (strict). Cloudflare exige alors un certificat valide sur votre serveur, et tout le trajet est chiffré et vérifié.
• Installez un certificat sur votre serveur : Let's Encrypt via AutoSSL ou Certbot convient, tout comme un certificat gratuit Cloudflare Origin CA. Un certificat Origin CA n'est reconnu que par Cloudflare : si vous désactivez un jour le proxy, les visiteurs verront des erreurs.
• Évitez le mode Flexible. Il laisse la connexion vers votre serveur non chiffrée et provoque souvent des boucles de redirection.

Problèmes SSL courants et solutions

• Le certificat n'est pas émis : le domaine ne pointe pas encore vers le serveur, ou le DNS garde l'ancienne adresse en cache. Vérifiez l'enregistrement A et patientez.
• Un enregistrement CAA le bloque : si votre DNS contient des enregistrements CAA, ils doivent autoriser la CA que vous utilisez, par exemple 0 issue "letsencrypt.org".
• La validation échoue sur un VPS : Let's Encrypt vérifie par défaut via le port 80, gardez donc le port 80 ouvert même si le site redirige vers HTTPS.
• « Non sécurisé » malgré un certificat : la page charge des images ou des scripts en http:// (contenu mixte). Remplacez ces liens par https://.
• Un certificat wildcard : *.example.com exige une validation DNS ; il ne fonctionne donc qu'avec un plugin DNS ou un fournisseur capable de créer l'enregistrement de vérification.
• Le certificat a expiré : le renouvellement automatique ne fonctionne plus. Consultez la page SSL/TLS Status dans cPanel, ou lancez certbot renew --dry-run sur un VPS et lisez l'erreur.