Activer un certificat SSL

Un site en HTTPS affiche un cadenas dans le navigateur ; sans certificat, les navigateurs récents le signalent comme « non sécurisé » et le référencement en souffre. Cette page explique comment émettre un certificat SSL sur votre hébergement web CloudFive, vérifier son renouvellement, puis basculer tout le trafic en HTTPS. Elle s’adresse aux clients d’une offre d’hébergement web ou revendeur.

Le certificat est inclus : les offres d’hébergement web comprennent le SSL gratuit, il n’y a rien à commander en plus. Tout se passe dans le panel d’hébergement, sur web.cloudfive.fr — voir Découvrir Plesk.

Note

Sur un VPS ou un serveur dédié, il n’y a pas de panel d’hébergement : le certificat s’installe vous-même sur votre serveur web. Si vous hésitez entre les deux formules, lisez Hébergement web ou VPS pour mon site ?.

Avant de commencer

L’émission d’un certificat Let’s Encrypt suppose que l’autorité de certification puisse joindre votre site. Vérifiez donc trois points :

• Le domaine pointe bien vers votre hébergement. Son enregistrement A doit viser l’adresse IP de votre hébergement. Voir Modifier la zone DNS.
• Le changement DNS est propagé. Comptez jusqu’à quelques heures après une modification. Tant que l’ancienne adresse répond encore, l’émission échouera.
• Le site répond en HTTP. Une page de maintenance qui renvoie une erreur, ou un dossier vide, suffisent à faire échouer la validation.

Activer le certificat Let’s Encrypt

1. Connectez-vous au panel d’hébergement sur web.cloudfive.fr.

2. Ouvrez la fiche du domaine concerné dans la liste de vos sites.

3. Entrez dans la section consacrée à la sécurité et aux certificats SSL.

4. Lancez l’émission d’un certificat gratuit Let’s Encrypt.

5. Cochez l’option qui couvre aussi le sous-domaine www : sans elle, www.exemple.fr affichera une alerte de sécurité.

6. Cochez l’option qui sécurise le webmail du domaine si vous utilisez les boîtes email de l’hébergement — voir Créer et configurer des boîtes email.

7. Validez, puis attendez l’émission. Elle prend en général moins d’une minute.

8. Vérifiez le résultat : ouvrez https://exemple.fr dans une fenêtre de navigation privée. Le cadenas doit apparaître sans avertissement.

Un certificat par domaine

Chaque domaine et chaque sous-domaine hébergé a besoin de sa propre couverture. Si vous ajoutez un sous-domaine plus tard, émettez un certificat pour lui aussi : voir Sous-domaines et redirections.

Vérifier le renouvellement automatique

Les certificats Let’s Encrypt ont une durée de vie courte — environ trois mois. Le panel les renouvelle seul, sans intervention de votre part, à condition que rien ne bloque la validation.

Pour contrôler que tout va bien :

1. Ouvrez la liste des certificats du domaine dans le panel et relevez la date d’expiration.

2. Si cette date est à plus d’un mois, le renouvellement a déjà eu lieu ou se fera sans souci.

3. Si elle est passée ou toute proche, relancez une émission manuellement : c’est le signe qu’un renouvellement automatique a échoué.

Les causes habituelles d’un renouvellement raté sont toujours les mêmes : le domaine a été repointé ailleurs, il a expiré, ou une règle de réécriture intercepte le chemin /.well-known/ utilisé pour la validation. Un plugin de sécurité ou un mode maintenance mal réglé produit souvent ce dernier effet.

Forcer la redirection vers HTTPS

Émettre le certificat ne suffit pas : tant que http://exemple.fr répond, une partie de vos visiteurs et des robots d’indexation continueront d’arriver en clair.

1. Dans les réglages d’hébergement du domaine, activez l’option de redirection permanente vers HTTPS.

2. Enregistrez, puis testez http://exemple.fr : le navigateur doit basculer tout seul sur https://.

3. Si votre site est un WordPress, mettez à jour les deux adresses du site dans ses réglages généraux pour qu’elles commencent par https://. Voir Installer WordPress.

À défaut, la redirection peut se faire par un fichier .htaccess à la racine du site. Préférez toujours l’option du panel : selon la configuration du serveur web, un .htaccess peut être ignoré.

.htaccess

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Attention

Ne cumulez pas les redirections. Une redirection activée dans le panel, une autre dans .htaccess et une troisième dans un plugin WordPress donnent une boucle : le navigateur affiche « trop de redirections » et le site devient inaccessible. Choisissez un seul endroit.

Corriger les avertissements de contenu mixte

Le « contenu mixte » (mixed content) désigne une page servie en HTTPS qui appelle encore des fichiers en http:// : images, feuilles de style, scripts. Résultat : le cadenas disparaît ou se barre, et les navigateurs bloquent purement et simplement les scripts concernés.

Pour les trouver :

1. Ouvrez la page concernée, puis les outils de développement du navigateur avec la touche F12.

2. Allez dans l’onglet Console et rechargez la page.

3. Relevez les lignes qui mentionnent Mixed Content : elles donnent l’URL exacte du fichier fautif.

Ensuite, selon l’origine du lien :

• Un lien écrit en dur dans le thème ou un fichier du site : corrigez-le en https://, ou supprimez simplement le http: pour laisser //exemple.fr/image.png. Les fichiers se modifient en FTP — voir Envoyer ses fichiers (FTP / SFTP).
• Une adresse stockée en base de données (cas le plus fréquent sur WordPress, dans les articles et les réglages) : un remplacement http://exemple.fr → https://exemple.fr en base règle tout d’un coup. Voir Bases de données MySQL.
• Un service externe appelé en HTTP : si le fournisseur ne propose pas de HTTPS, il faut le remplacer. Aucun réglage de votre côté ne corrigera cela.

Danger

Un remplacement en masse dans la base de données ne s’annule pas. Prenez une sauvegarde avant de le lancer : Sauvegardes de l’hébergement.

Cas des domaines externes

Un domaine acheté ailleurs que chez CloudFive s’héberge sans problème, mais la validation du certificat dépend alors de réglages qui ne sont pas dans votre panel d’hébergement.

• Domaine enregistré chez un autre registrar. Créez l’enregistrement A vers l’IP de votre hébergement dans l’interface de ce registrar, attendez la propagation, puis émettez le certificat. Pour rapatrier le domaine, voir Transférer un nom de domaine.
• DNS gérés par un proxy ou un CDN. Quand le trafic passe par un intermédiaire, c’est lui qui répond à la place de votre serveur et la validation échoue. Désactivez le mode proxy le temps de l’émission, ou laissez l’intermédiaire fournir le certificat visible par les visiteurs.
• Domaine pas encore enregistré. Voir Enregistrer un nom de domaine.
• Domaine utilisé uniquement en redirection. Un domaine qui ne fait que renvoyer vers un autre site a quand même besoin d’un certificat pour que la redirection s’ouvre sans alerte. Voir Rediriger un nom de domaine.

Si ça ne marche pas

L’émission échoue avec une erreur de validation. Dans neuf cas sur dix, le domaine ne pointe pas (encore) vers votre hébergement. Vérifiez la zone DNS, attendez la propagation, et réessayez. Vérifiez aussi qu’aucune règle de réécriture, page de maintenance ou plugin de sécurité ne bloque le chemin /.well-known/.

Le navigateur affiche une erreur de nom de certificat. Le certificat a été émis pour exemple.fr mais vous consultez www.exemple.fr, ou l’inverse. Relancez l’émission en cochant la variante manquante.

Le cadenas n’apparaît pas alors que le certificat est bien émis. C’est du contenu mixte, ou un cache. Testez en navigation privée pour écarter le cache du navigateur, puis utilisez la console comme décrit plus haut.

Le site répond « trop de redirections ». Vous avez deux redirections HTTPS qui se renvoient la balle. Désactivez-en une — en priorité celle du plugin ou du .htaccess, et gardez celle du panel.

Rien de tout cela. Ouvrez un ticket de support en indiquant le nom de domaine exact, le message d’erreur complet et ce que vous avez déjà essayé. Vérifiez au passage status.cloudfive.xyz : si un incident est en cours, l’information y est publiée.