Le https et une bonne redirection

Module 4: Vitesse, mobile et https · Temps de lecture : 11 minutes

Objectif pédagogique : À l'issue de cette leçon, vous saurez expliquer pourquoi le https compte pour les moteurs de recherche et les visiteurs, nommer la différence entre une redirection permanente et une redirection temporaire, et vérifier que toutes les variantes de votre adresse aboutissent en une seule étape sur la même page https.

Notions clés : https, certificat, redirection (redirect), 301 et 308 (permanente), 302 et 307 (temporaire), chaîne de redirections, adresse préférée, avec ou sans www, HSTS, contenu mixte

Quatre adresses pour une seule page d'accueil

Lorsque vous tapez le nom d'un site dans la barre d'adresse, votre navigateur peut aboutir à quatre endroits :

Pour vous, c'est un seul site. Pour un moteur de recherche, ce sont quatre adresses différentes. Si les quatre affichent la même page, Google doit choisir lui-même laquelle est la « vraie » adresse. Google l'appelle l'adresse canonique (la leçon 3.5 approfondit ce sujet). Google recommande de choisir vous-même une seule adresse comme adresse préférée et de rediriger les autres variantes vers celle-ci. Ainsi, il n'y a aucun doute, et les liens vers chaque variante comptent pour la même page.

Bloemenatelier Lotte choisit https://www.example.com/. Les trois autres variantes redirigent vers cette adresse. Que vous choisissiez avec ou sans www n'a aucune importance pour les moteurs de recherche. L'important est de faire un seul choix et de vous y tenir partout : dans votre menu, votre sitemap, votre canonical et votre fiche d'établissement.

Pourquoi le https

Le https signifie que la connexion entre le navigateur et le serveur est chiffrée à l'aide d'un certificat. Personne sur le trajet ne peut lire les échanges ni modifier quoi que ce soit dans la page, par exemple sur un wifi public.

Pour les moteurs de recherche, le https compte de deux manières :

1. Comme signal. Google a annoncé en 2014 que le https est un signal de classement, mais l'a alors qualifié de « signal très léger » qui pèse moins qu'un bon contenu. Dans la documentation sur l'expérience sur la page, le https figure parmi les questions à vous poser (« vos pages sont-elles diffusées de manière sécurisée ? »). N'exagérez donc pas : le https seul ne vous propulsera pas en tête des résultats.
2. Pour les visiteurs. Les navigateurs affichent « Non sécurisé » sur une page en http, surtout lorsqu'elle contient un formulaire. Un visiteur qui voit cela abandonne plus vite. Vous le remarquez dans votre fréquentation, pas dans une règle de classement.

Aujourd'hui, un certificat valide s'obtient gratuitement via Let's Encrypt. Chez la plupart des hébergeurs, y compris chez WebOké, il est demandé et renouvelé automatiquement. Veillez à ce que le certificat couvre les deux noms : sans et avec www. S'il ne couvre que example.com, alors https://www.example.com/ provoque une erreur de certificat, avant même que la redirection puisse avoir lieu.

Rediriger de façon permanente ou temporaire

Une redirection (redirect) est une réponse du serveur : « cette page se trouve ailleurs ». Elle se fait avec un code de statut à trois chiffres commençant par 3, accompagné d'un en-tête Location contenant la nouvelle adresse.

Selon Google Search Central, l'indexation utilise une redirection permanente comme signal que la cible doit devenir canonique. Ce n'est pas le cas avec une redirection temporaire : l'ancienne adresse reste généralement dans les résultats. Le passage de http à https et le choix avec ou sans www sont des situations durables. Utilisez donc 301 ou 308.

Vous pouvez observer une redirection vous-même. Dans un terminal :

$ curl -sI http://example.com/
HTTP/1.1 301 Moved Permanently
Location: https://www.example.com/

Ou dans votre navigateur : ouvrez les outils de développement (F12), onglet Réseau, activez l'option qui conserve le journal lors du chargement d'une nouvelle page, puis chargez l'adresse http. Vous voyez alors chaque étape avec son code.

Chaînes de redirections

Une chaîne de redirections est une redirection vers une adresse qui redirige elle-même à nouveau. Un exemple courant :

http://example.com/        301 → https://example.com/
https://example.com/       301 → https://www.example.com/
https://www.example.com/   200

Cela fonctionne, mais chaque première visite coûte un aller-retour supplémentaire vers le serveur. web.dev cite les redirections parmi les causes d'une première réponse lente du serveur (leçon 4.3) : chaque étape s'additionne, et les chaînes encore davantage. Mieux vaut que chaque variante aboutisse en une seule étape sur l'adresse préférée :

http://example.com/          301 → https://www.example.com/
http://www.example.com/      301 → https://www.example.com/
https://example.com/         301 → https://www.example.com/
https://www.example.com/     200

Pour l'ancienne adresse http avec l'autre nom, ce n'est pas toujours possible en une étape, car avec certains réglages le serveur redirige d'abord vers le https du même nom, puis seulement vers l'autre nom. Deux étapes sont alors acceptables ; trois ou plus justifient de revoir les réglages. Une boucle (A redirige vers B, B redirige de nouveau vers A) est toujours une erreur : la page ne s'ouvre alors pas du tout.

HSTS : le navigateur s'en souvient

HSTS (HTTP Strict Transport Security, RFC 6797) est un en-tête que le serveur envoie via https :

Strict-Transport-Security: max-age=31536000

Un navigateur qui l'a vu une fois se rend ensuite directement en https pour ce site, sans essayer d'abord http. Cela évite la première redirection et protège contre les regards indiscrets. web.dev cite aussi HSTS comme moyen d'éviter la redirection de http vers https. Pour les moteurs de recherche, HSTS n'est pas un signal ; pour vos visiteurs, c'est une amélioration. Ne l'activez que lorsque le https fonctionne correctement sur tous les noms, car le navigateur s'en souvient pendant toute la durée indiquée par max-age. La formation Sécurité en ligne approfondit ce sujet.

Contenu mixte

Une page https qui charge une image, un script ou une feuille de style via http:// contient du contenu mixte (mixed content). Les navigateurs bloquent les scripts et feuilles de style non sécurisés, ou affichent un avertissement. Après le passage au https, on le constate souvent avec d'anciennes images dans les textes ou avec un thème utilisant des adresses fixes. Recherchez dans le code source src="http:// et href="http:// et remplacez-les par https ou par une adresse relative.

En pratique : configurer la redirection vers https

Avec un hébergement WebOké, vous activez la redirection vers https dans DirectAdmin, dans les réglages du domaine (interrupteur « Forcer SSL avec HTTPS Redirect »), et vous choisissez sur la même page, sous « Forcer la redirection », si vous travaillez avec ou sans www. Gérez la redirection à un seul endroit : deux règles qui font chacune autre chose (par exemple dans le panneau et dans une extension) créent facilement une boucle. Un site créé avec l'AI Builder reçoit un certificat et sa propre adresse lors de la publication. Dans WordPress, sous Réglages, Général, saisissez l'adresse web de WordPress et l'adresse web du site avec https:// et le nom choisi ; la redirection elle-même se règle sur le serveur. Chez d'autres fournisseurs et outils de création de site, le principe est similaire, seuls les noms des boutons diffèrent.

Si vous souhaitez passer par .htaccess (Apache ou LiteSpeed), ceci redirige toutes les variantes en une seule étape vers https://www.example.com :

RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} !^www\.example\.com$ [NC]
RewriteRule ^ https://www.example.com%{REQUEST_URI} [R=301,L]

Vérifiez ensuite toujours les quatre variantes, y compris avec un chemin derrière (http://example.com/contact) : le chemin doit être conservé, et non renvoyer vers la page d'accueil.

Résumé

• Choisissez une seule adresse préférée (https, avec ou sans www) et redirigez les autres variantes vers celle-ci.
• Pour les redirections durables, utilisez 301 ou 308 ; 302 et 307 sont temporaires et ne donnent à Google aucun signal sur l'adresse canonique.
• Faites aboutir chaque variante sur l'adresse préférée en une étape, deux au maximum ; les chaînes coûtent du temps et les boucles cassent le site.
• Selon Google, le https est un signal de classement léger ; pour les visiteurs, c'est surtout une question de confiance. Le certificat doit couvrir les deux noms.
• HSTS fait passer le navigateur directement en https ; le contenu mixte se nettoie après le passage au https.

Quiz

Exercice

Exercice A4.1 : Tout passe-t-il en https en une seule étape ? Saisissez votre nom de domaine (sans www). Le programme teste les quatre variantes (http et https, avec et sans www), suit chaque redirection étape par étape et vérifie le certificat des deux noms. Pour chaque variante, vous voyez la chaîne avec les codes de statut, si toutes aboutissent sur la même adresse https, et s'il existe un en-tête HSTS. Vous n'avez pas de site ? Utilisez rijksoverheid.nl.

Pour aller plus loin

Les étapes décrites dans ces articles s'appliquent aux panneaux de WebOké ; chez d'autres fournisseurs, le fonctionnement est similaire.

• Guide DirectAdmin 6.4: Rediriger toujours les visiteurs vers HTTPS
• Guide DirectAdmin 4.3: Paramètres d'un domaine : SSL, PHP, www et private_html
• Guide DirectAdmin 6.3: Certificat pour www, sous-domaines et wildcard
• Rediriger obligatoirement les visiteurs vers https
• Cours DNS gratuit 3.4: www, redirection et ce que le DNS ne fait pas
• Google Search Central, Redirects and Google Search : https://developers.google.com/search/docs/crawling-indexing/301-redirects
• Google Search Central Blog, HTTPS as a ranking signal (2014) : https://developers.google.com/search/blog/2014/08/https-as-ranking-signal
• RFC 6797 (HSTS) : https://www.rfc-editor.org/rfc/rfc6797