Servir la page en HTTPS avec un certificat valide
Description
Ce critère vérifie que votre page est servie de façon sécurisée : son adresse finale commence par https:// ; son certificat est valide, couvre le nom du site et n’expire pas dans les 14 jours ; l’adresse en http:// redirige vers https:// ; l’en-tête Strict-Transport-Security impose HTTPS pour au moins six mois ; aucune ressource de la page n’est chargée en http://.
Une page sans HTTPS ou avec un certificat invalide obtient le statut « Mauvais », quels que soient les autres points.
Pourquoi c’est important pour les IA
Les IA renvoient vers les pages qu’elles citent. Si l’adresse déclenche une alerte de sécurité, la visite est perdue ; si le contenu peut être modifié en chemin, votre texte n’est plus fiable. HTTPS chiffre l’échange entre votre serveur et ceux qui lisent la page, visiteurs comme robots.
- Un certificat expiré, ou qui ne couvre pas le nom du site, fait échouer la connexion sécurisée : le navigateur affiche une alerte au lieu de la page.
- Sans HTTPS, un intermédiaire peut lire ou modifier la page en chemin, par exemple pour y injecter des publicités.
- Les navigateurs bloquent les scripts et les feuilles de style chargés en http:// sur une page en HTTPS : la page peut s’afficher incomplète.
Comment corriger
- 1 Servez la page en HTTPS Installez un certificat sur votre site, ou activez l’option HTTPS de votre hébergeur ou de votre CMS. Let’s Encrypt délivre des certificats gratuits, et de nombreux hébergeurs les obtiennent et les gèrent pour vous. Mettez ensuite à jour les liens internes, la canonique et le sitemap vers les adresses en https://.
- 2 Gardez un certificat valide Le certificat doit être délivré par une autorité reconnue, avec sa chaîne complète, et couvrir le nom exact du site, avec ou sans www selon l’adresse que vous utilisez. Automatisez son renouvellement : iPand signale un certificat qui expire dans moins de 14 jours.
- 3 Redirigez http:// vers https:// Configurez votre serveur ou votre hébergeur pour que toute adresse en http:// renvoie, par une redirection permanente 301, vers la même adresse en https://. Les visiteurs et les robots qui suivent un ancien lien arrivent ainsi sur la version sécurisée.
- 4 Activez HSTS Ajoutez aux réponses en HTTPS l’en-tête Strict-Transport-Security avec un max-age d’au moins 15768000 secondes, soit six mois, par exemple max-age=31536000 pour un an. Le navigateur passera alors directement en HTTPS aux visites suivantes. Testez d’abord avec une durée courte, puis passez à six mois ou plus.
- 5 Chargez toutes les ressources en HTTPS Remplacez les adresses en http:// des images, scripts, feuilles de style, polices et iframes par leur version en https://, ou par des adresses relatives pour vos propres fichiers. La console de développement de votre navigateur signale le contenu mixte qui reste.
À retenir
HTTPS permet aux visiteurs et aux robots de lire votre page sans alerte ni altération. iPand vérifie chaque jour l’adresse servie, le certificat, la redirection, HSTS et les ressources de la page.
