95 % des pages en position 1 sur Google sont en HTTPS : et vous ?
Google l'a confirmé dès 2014 : le HTTPS est un facteur de classement. Un signal léger, mais l'impact SEO d'un certificat SSL ne s'arrête pas là. En 2026, un site sans HTTPS est distancé dans les résultats, affiché comme « Non sécurisé » par Chrome et fait fuir des clients potentiels. La bonne nouvelle : la migration est plus simple que jamais.
Dans cet article, vous allez découvrir :
- •Ce que pèse vraiment le HTTPS dans le classement Google (et ce qui pèse davantage)
- •L'impact concret sur la confiance utilisateur et le taux de conversion
- •La méthode pas à pas pour passer de HTTP à HTTPS sans perdre vos positions, avec les configurations Apache, Nginx et Vercel
- •Les erreurs de migration qui plombent le référencement et la checklist de contrôle en 10 points
Selon Backlinko, 95,2 % des pages en position 1 sur Google utilisent le HTTPS. Ce n'est plus un avantage concurrentiel, c'est un prérequis.
Qu'est-ce que HTTPS et SSL/TLS : les bases
Avant de parler impact SEO, clarifions les termes techniques que beaucoup confondent.
HTTP vs HTTPS
HTTP (HyperText Transfer Protocol) est le protocole qui permet d'afficher les pages web. HTTPS en est la version sécurisée : le « S » signifie « Secure ». La différence fondamentale : HTTPS chiffre toutes les données échangées entre le navigateur et le serveur.
| Critère | Site en HTTP | Site en HTTPS |
|---|---|---|
| Chiffrement des données | Aucun, tout circule en clair | Chiffré par TLS 1.2 ou 1.3 |
| Affichage dans le navigateur | Badge « Non sécurisé » dans Chrome | Aucun avertissement |
| Signal de classement Google | Absent | Présent (signal léger) |
| HTTP/2 et HTTP/3 | Non disponibles | Disponibles, chargement plus rapide |
| Données de référence Analytics | Perdues pour les visites venant de sites HTTPS | Conservées |
| API navigateur (géolocalisation, notifications, PWA) | Bloquées | Accessibles |
SSL vs TLS : quelle différence ?
SSL (Secure Sockets Layer) est l'ancêtre de TLS (Transport Layer Security). SSL est officiellement obsolète depuis 2015, remplacé par TLS 1.2 puis TLS 1.3. Dans la pratique, on continue de dire « certificat SSL » par habitude, mais c'est bien le protocole TLS qui assure le chiffrement.
Comment fonctionne le chiffrement
Lorsqu'un navigateur se connecte à un site HTTPS, un « handshake » TLS s'établit. Le serveur présente son certificat, le navigateur le vérifie auprès de l'autorité de certification, puis les deux parties négocient une clé de chiffrement temporaire. Toutes les données échangées ensuite sont chiffrées avec cette clé.
Pourquoi Google impose le HTTPS
Google a fait du HTTPS une priorité pour trois raisons convergentes.
Un facteur de classement confirmé
En août 2014, Google a officiellement annoncé que le HTTPS était un signal de classement, en précisant qu'il s'agissait d'un signal léger. Il l'est resté. Ce qui a changé depuis, c'est tout le reste : le navigateur, les API web réservées au HTTPS, HTTP/2 et la confiance des utilisateurs. C'est là que se joue l'impact SEO réel du HTTPS.
Le badge « Non sécurisé » dans Chrome
Depuis juillet 2018, Chrome affiche un avertissement « Non sécurisé » dans la barre d'adresse pour tout site HTTP. Ce badge fait fuir les visiteurs : face à un avertissement de sécurité, beaucoup quittent la page avant même de la lire, surtout s'ils doivent remplir un formulaire.
La vision de Google : un web 100 % chiffré
Google pousse activement vers un web entièrement sécurisé. Les nouvelles fonctionnalités du navigateur (API de géolocalisation, notifications push, service workers) ne sont accessibles qu'en HTTPS. C'est une tendance irréversible.
Comme nous le détaillons dans notre accompagnement en référencement naturel, le HTTPS fait partie des fondamentaux techniques que nous vérifions en priorité sur chaque projet.
L'impact SEO concret du HTTPS
Au-delà du signal de classement direct, le HTTPS influence votre SEO de plusieurs manières.
Amélioration du classement
Les études de corrélation montrent un avantage mesurable pour les sites HTTPS. Ce n'est pas le facteur le plus puissant (le contenu et les backlinks restent dominants), mais à qualité égale entre deux pages, le HTTPS fait la différence.
Données de référence dans Google Analytics
Quand un visiteur passe d'un site HTTPS vers un site HTTP, les données de référence (referer) sont supprimées. Le trafic apparaît comme « direct » dans vos analytics, faussant vos données. En HTTPS, les données de référence sont conservées, ce qui vous donne une vision précise de vos sources de trafic.
Confiance utilisateur et taux de conversion
L'absence d'avertissement dans la barre d'adresse rassure les visiteurs. Sur les pages de paiement et les formulaires de contact, le HTTPS est déterminant pour le taux de conversion : personne ne saisit ses coordonnées sur une page marquée « Non sécurisé ».
Crawl et indexation
Google a confirmé que ses robots privilégient les URL HTTPS lors de l'indexation. Si votre site est accessible en HTTP et en HTTPS, Google indexera la version HTTPS par défaut (à condition que les redirections soient correctement configurées).
Migrer de HTTP vers HTTPS : la méthode pas à pas
La migration vers HTTPS est un projet technique qui nécessite de la rigueur. Voici les étapes à suivre pour ne perdre aucune position.
Étape 1 : obtenir un certificat SSL
Choisissez un certificat adapté à vos besoins (nous détaillons les types plus bas). Pour la plupart des sites, un certificat Let's Encrypt gratuit suffit amplement. Votre hébergeur peut souvent l'installer en un clic.
Étape 2 : installer le certificat sur le serveur
L'installation varie selon votre hébergeur. Sur Vercel (que nous utilisons chez ONDEV), le HTTPS est activé automatiquement avec un certificat Let's Encrypt : c'est l'un des avantages d'un hébergement sur Vercel avec HTTPS et HTTP/2 activés par défaut. Sur un VPS, la configuration se fait via Nginx ou Apache.
Étape 3 : configurer les redirections 301
Chaque URL HTTP doit rediriger vers sa version HTTPS avec une redirection 301 permanente. C'est l'étape la plus critique pour le SEO : les redirections 301 transfèrent la majorité de l'autorité de l'ancienne URL vers la nouvelle.
Forcer le HTTPS : les trois configurations courantes
Forcer le HTTPS signifie que toute requête HTTP est automatiquement redirigée en 301 vers la version HTTPS, sans action du visiteur.
Apache (.htaccess) :
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]Nginx :
server {
listen 80;
server_name votresite.fr www.votresite.fr;
return 301 https://$host$request_uri;
}Next.js sur Vercel : rien à configurer. Vercel émet le certificat Let's Encrypt, force le HTTPS et active HTTP/2 automatiquement. Il reste à choisir la version canonique (avec ou sans www) dans les paramètres du domaine pour éviter une double redirection. C'est la configuration que nous utilisons sur la plupart de nos sites, dont Sudparebrise, qui affiche un score Lighthouse de 100 %.
Aller plus loin avec HSTS : l'en-tête Strict-Transport-Security indique au navigateur de n'utiliser que le HTTPS pendant une durée donnée (un an en général). Il supprime la redirection au second chargement et bloque les attaques de rétrogradation vers HTTP. Activez-le seulement une fois que tout le site, sous-domaines compris, répond correctement en HTTPS. Pour aller au-delà du certificat, notre article sur HSTS et les en-têtes de sécurité indispensables couvre aussi CSP, X-Frame-Options et les sauvegardes.
Pour maîtriser les redirections, consultez notre guide complet sur les redirections 301 et 308 qui détaille chaque cas de figure.
Étape 4 : mettre à jour les liens internes
Remplacez toutes les URL HTTP par des URL HTTPS dans votre contenu, vos menus, votre sitemap et vos fichiers de configuration. Les liens internes en HTTP créeront des chaînes de redirection inutiles qui ralentissent votre site.
Étape 5 : mettre à jour la Search Console
Ajoutez la propriété HTTPS dans la Google Search Console. Soumettez le nouveau sitemap XML avec les URL HTTPS. Surveillez le rapport de couverture pendant les semaines suivantes pour détecter d'éventuelles erreurs.
Les types de certificats SSL : lequel choisir
Tous les certificats ne se valent pas. Voici les principales catégories.
Domain Validation (DV)
Le certificat DV vérifie uniquement que vous êtes propriétaire du domaine. C'est le plus simple et le plus rapide à obtenir. Let's Encrypt fournit des certificats DV gratuitement. Suffisant pour la grande majorité des sites vitrines et des blogs.
Organization Validation (OV)
Le certificat OV vérifie l'identité de l'organisation derrière le site. Il affiche le nom de l'entreprise dans les détails du certificat. Recommandé pour les sites d'entreprise qui veulent renforcer leur crédibilité.
Extended Validation (EV)
Le certificat EV implique une vérification approfondie de l'entreprise. Autrefois associé à la barre d'adresse verte, il n'offre plus de différence visuelle dans les navigateurs modernes. Son intérêt a diminué.
Wildcard et multi-domaines
Un certificat wildcard couvre un domaine et tous ses sous-domaines (*.votresite.fr). Un certificat multi-domaines (SAN) couvre plusieurs domaines distincts. Utiles pour les architectures complexes.
HTTPS et performance : HTTP/2 et TLS 1.3
Contrairement à une idée reçue, le HTTPS peut améliorer la performance de votre site.
HTTP/2 nécessite HTTPS
Le protocole HTTP/2 apporte des améliorations de performance significatives : multiplexage des requêtes sur une seule connexion et compression des en-têtes. Or, HTTP/2 ne fonctionne qu'avec HTTPS dans les navigateurs. Migrer vers HTTPS vous donne accès à ces gains de performance.
TLS 1.3 : plus rapide et plus sûr
TLS 1.3 réduit le temps de handshake d'un aller-retour complet par rapport à TLS 1.2. Le chiffrement est établi plus rapidement, ce qui réduit le temps de chargement initial. Assurez-vous que votre serveur supporte TLS 1.3.
Pour aller plus loin sur l'optimisation de la vitesse, consultez notre article sur les Core Web Vitals et la vitesse de chargement qui couvre tous les aspects de la performance web.
À lire aussi : Refonte site internet : le guide complet 2026 - Si votre site est encore en HTTP, c'est peut-être le moment d'envisager une refonte complète.
Les erreurs de migration qui plombent le SEO
Une migration HTTPS mal exécutée peut faire chuter durablement votre trafic organique. Voici les pièges à éviter.
Le mixed content
Le mixed content survient quand une page HTTPS charge des ressources (images, scripts, styles) via HTTP. Le navigateur bloque ces ressources ou affiche un avertissement. Vérifiez que toutes vos ressources sont chargées en HTTPS.
Les chaînes de redirections
Une chaîne de redirections se produit quand une URL passe par plusieurs redirections avant d'atteindre sa destination. Par exemple : http://site.fr redirige vers http://www.site.fr qui redirige vers https://www.site.fr. Chaque redirection ajoute du temps de chargement et dilue le PageRank. Quand la migration HTTPS s'accompagne d'un changement de domaine ou d'URL, construisez un plan de redirection complet pour une migration avant de basculer, URL par URL.
Oublier de mettre à jour les canonicals
Si vos balises canonical pointent encore vers les URL HTTP, Google peut considérer les versions HTTP comme canoniques et ignorer les versions HTTPS. Mettez à jour toutes les balises canonical après la migration.
Ne pas mettre à jour le sitemap
Votre sitemap XML doit contenir uniquement des URL HTTPS. Un sitemap qui mélange HTTP et HTTPS crée de la confusion pour Google.
Checklist de contrôle après migration HTTPS
| Point à vérifier | Comment le contrôler |
|---|---|
| Toutes les URL HTTP redirigent en 301 vers HTTPS | Screaming Frog, mode liste sur l'ancien sitemap |
| Une seule redirection, pas de chaîne http vers www vers https | Onglet Réseau du navigateur ou redirect-checker |
| Balises canonical en HTTPS | Crawl Screaming Frog, colonne Canonical |
| Sitemap XML 100 % HTTPS et resoumis | Google Search Console, rapport Sitemaps |
| Aucun mixed content sur les pages clés | Why No Padlock, console du navigateur |
| Liens internes mis à jour en HTTPS | Crawl, filtre sur les liens sortants en http:// |
| Propriété HTTPS ajoutée dans la Search Console | Search Console, propriété de domaine |
| Note A ou A+ au test SSL Labs, TLS 1.3 actif | ssllabs.com |
| Robots.txt accessible en HTTPS, sans blocage | Testeur robots.txt de la Search Console |
| Date d'expiration du certificat surveillée | Renouvellement automatique ou alerte dans votre contrat de maintenance |
C'est ce niveau d'attention aux détails techniques que nous appliquons sur chaque projet : pour Sudparebrise, le site atteint un score Lighthouse de 100 % et génère environ 30 000 euros de chiffre d'affaires par an. Consultez l'étude de cas complète.
Vérifier sa configuration SSL : les outils indispensables
Après la migration, validez votre configuration avec ces outils gratuits.
SSL Labs (ssllabs.com) : l'outil de référence pour tester votre certificat SSL/TLS. Il analyse le protocole, les algorithmes de chiffrement et les vulnérabilités connues. Visez une note A ou A+.
Why No Padlock : détecte les problèmes de mixed content sur vos pages. Scannez vos pages principales pour identifier les ressources chargées en HTTP.
Google Search Console : surveillez le rapport de couverture après la migration. Les erreurs d'indexation liées au changement de protocole apparaîtront ici.
Screaming Frog : crawlez votre site pour détecter les liens internes en HTTP, les canonicals obsolètes et les chaînes de redirection.
Ces outils vérifient le certificat, pas le reste. Si votre site est ancien ou si vous avez hérité d'un code que vous ne maîtrisez pas, un audit de code et de sécurité de votre site contrôle en plus les en-têtes de sécurité, les dépendances et la configuration serveur.
Questions fréquentes sur le HTTPS et le SSL
Le HTTPS est-il obligatoire pour le SEO en 2026 ?
Let's Encrypt est-il suffisant pour un site professionnel ?
La migration HTTPS fait-elle perdre des positions sur Google ?
Faut-il renouveler son certificat SSL manuellement ?
Comment forcer le HTTPS sur son site ?
http://site.fr et https://www.site.fr.Comment passer son site WordPress en HTTPS ?
https:// dans Réglages puis Général. Remplacez ensuite les URL HTTP stockées en base de données avec une extension de recherche et remplacement, ajoutez la redirection 301 dans le .htaccess et resoumettez le sitemap dans la Search Console. Le point de vigilance est le mixed content : des images insérées en dur en http:// déclenchent l'avertissement du navigateur.Pourquoi mon site affiche-t-il encore « Non sécurisé » alors que j'ai un certificat SSL ?
www.site.fr alors que le visiteur arrive sur site.fr. Un certificat wildcard ou multi-domaines règle ce dernier point.Passez au HTTPS et sécurisez votre référencement
Le HTTPS n'est plus un bonus technique : c'est un pilier du SEO et de la confiance utilisateur. Si votre site est encore en HTTP, il perd des clients à chaque visite et part avec un handicap face à des concurrents tous en HTTPS. La migration est accessible, souvent gratuite, et le badge « Non sécurisé » disparaît dès la bascule.
Si vous planifiez une migration HTTPS ou si vous souhaitez un audit de votre configuration actuelle, notre équipe est là pour vous accompagner.
Votre site n'est pas encore en HTTPS ou vous doutez de votre configuration SSL ? Demandez votre devis gratuit et sécurisez votre référencement dès maintenant.
