Site « non sécurisé » : que faire ?

Cadenas rouillés accrochés aux mailles d'une grille métallique

Registrar et hébergeur : deux métiers qu'on confond trop souvent

Beaucoup de TPE pensent que leur nom de domaine et leur hébergement sont « la même chose, chez le même prestataire ». C'est parfois vrai, mais ce sont deux services distincts, rendus par deux types d'acteurs différents, et la confusion est à l'origine de la plupart des mauvaises surprises au moment de changer de prestataire.

Le bureau d'enregistrement (registrar) est l'entreprise accréditée auprès de l'organisme qui gère l'extension (l'AFNIC pour le .fr, l'ICANN pour le .com) pour enregistrer et renouveler votre nom de domaine. C'est lui qui inscrit votre domaine dans la base publique et qui facture son renouvellement, chaque année ou tous les deux ans.

L'hébergeur est l'entreprise qui met à disposition le serveur sur lequel vos fichiers, votre site et vos e-mails sont réellement stockés et exécutés. Un domaine « pointe » vers un hébergement grâce à des réglages techniques (les serveurs DNS), mais rien n'oblige à ce que les deux soient chez le même prestataire.

Chez beaucoup d'offres grand public, le registrar et l'hébergeur sont effectivement la même société, ce qui simplifie les choses. Le problème survient quand une agence web achète le nom de domaine « pour vous » chez un registrar, et héberge le site ailleurs, sans que le client sache clairement qui est titulaire de quoi.

Qui est vraiment propriétaire du nom de domaine ?

C'est le piège le plus coûteux, et le plus fréquent chez les TPE qui font appel à une agence ou à un développeur indépendant pour leur premier site. Le nom de domaine doit être enregistré au nom du client, c'est-à-dire de l'entreprise elle-même, pas au nom de l'agence ou du prestataire qui a réalisé le site.

Dans la base publique du registre (le Whois), chaque domaine a un titulaire : la personne physique ou morale qui détient les droits et les responsabilités sur ce nom. Si c'est le prestataire qui figure comme titulaire, c'est lui, juridiquement, qui est propriétaire du domaine, même si c'est l'entreprise cliente qui paie la facture d'hébergement chaque mois.

Concrètement, cela veut dire qu'en cas de rupture avec le prestataire, désaccord commercial, agence qui ferme, développeur qui disparaît, l'entreprise peut se retrouver dans l'incapacité de récupérer son propre nom de domaine, et donc de changer d'hébergeur ou de refaire son site sous la même adresse. C'est un scénario qui revient régulièrement, et qui peut bloquer une activité pendant des semaines.

Comment vérifier sa situation : interroger le Whois de son propre nom de domaine (l'AFNIC propose un outil gratuit pour les .fr, et il existe des équivalents pour les autres extensions) et regarder le champ « titulaire ». S'il indique le nom de l'agence ou du prestataire plutôt que celui de l'entreprise, il faut demander un transfert de titularité sans attendre, de préférence par écrit, et avant toute rupture de contrat.

Les pièges de renouvellement

Un nom de domaine n'est jamais acheté « une fois pour toutes » : c'est un abonnement, renouvelable chaque année (ou tous les deux ans selon l'extension et l'offre). Deux dates méritent d'être surveillées de près : la date d'expiration du domaine, et celle du certificat SSL si celui-ci n'est pas renouvelé automatiquement.

Activer le renouvellement automatique chez son registrar, avec un moyen de paiement à jour. C'est la protection la plus simple contre l'oubli, qui reste la cause numéro un de perte de domaine : un domaine expiré peut être racheté par n'importe qui dans les jours qui suivent, y compris par un concurrent ou un acteur malveillant.
Vérifier l'adresse e-mail de contact associée au compte registrar : c'est elle qui reçoit les alertes de renouvellement. Une adresse e-mail obsolète (ancien collaborateur, ancienne agence) fait manquer l'alerte au pire moment.
Se méfier des fausses factures de renouvellement. Une arnaque classique consiste à envoyer, par courrier postal ou par e-mail, une fausse « facture de renouvellement » imitant la mise en forme d'un registrar officiel, pour un montant souvent plus élevé que le tarif réel, et vers un prestataire qui n'est pas le vôtre. Si l'entreprise paie, le domaine est parfois transféré ailleurs, ce qui complique sa gestion future. Avant de régler une facture de ce type, vérifier qu'elle provient bien du registrar réellement utilisé, en se connectant directement à son espace client plutôt qu'en cliquant sur un lien reçu par e-mail.

Le certificat SSL : pourquoi il n'est plus optionnel

Le certificat SSL (ou TLS) chiffre la connexion entre le visiteur et le site : c'est ce qui fait apparaître le petit cadenas et l'adresse en https:// plutôt qu'en http://. Aujourd'hui, un site sans certificat SSL est signalé « non sécurisé » par défaut dans Chrome et Firefox, ce qui inquiète immédiatement le visiteur, qu'il s'agisse d'un site vitrine, d'une boutique en ligne ou d'un simple formulaire de contact.

Au-delà de la confiance visiteur, le HTTPS a aussi un impact sur le référencement : à qualité égale, les moteurs de recherche favorisent depuis plusieurs années les sites chiffrés. Lancer un site sans certificat SSL revient donc à cumuler un frein de confiance et un frein de visibilité, pour un service qui coûte en réalité très peu, voire rien.

Il existe deux grandes familles de certificats :

Les certificats gratuits de type Let's Encrypt, délivrés automatiquement et proposés par la quasi-totalité des hébergeurs en un clic depuis l'espace client. Ils valident que vous contrôlez bien le domaine (validation de domaine), ce qui est largement suffisant pour un site vitrine ou un site d'artisan. Ils doivent être renouvelés tous les trois mois, ce qui se fait normalement tout seul si le renouvellement automatique est bien configuré.
Les certificats payants, qui ajoutent parfois une validation d'entreprise plus poussée. Ils ne se justifient que pour des besoins particuliers et restent rarement nécessaires pour un site vitrine classique : si on vous vend un certificat payant pour ce type de site, la démarche est rarement justifiée.

Sur l'offre d'hébergement de GLSM par exemple, l'hébergement, le nom de domaine et l'adresse e-mail professionnelle sont inclus la première année puis facturés 120 €/an à partir de l'année suivante, et le nom de domaine reste au nom du client, pas à celui du prestataire. Pour l'inclusion précise d'un certificat SSL dans une offre donnée, mieux vaut toujours vérifier directement auprès de l'hébergeur retenu : la pratique varie selon les prestataires et il ne faut jamais la présumer.

Reconnaître un site mal configuré

Un certificat absent, expiré ou mal configuré se traduit presque toujours par le même signal : la mention « Non sécurisé » affichée par le navigateur juste avant l'adresse du site. Ce message ne veut pas dire que le site est piraté, il signifie seulement que la connexion n'est pas chiffrée, mais il suffit à faire fuir une grande partie des visiteurs et à décourager la saisie d'un formulaire.

Les causes possibles (certificat absent, expiré, contenu mixte, mauvaise configuration) et la marche à suivre pour corriger chaque cas sont détaillées dans notre guide Site « non sécurisé » : que faire ?. Avant même de lancer un nouveau site, il est utile de connaître ces quatre cas pour éviter de les reproduire dès la mise en ligne.

Checklist avant de lancer son site

Vérifier le titulaire du nom de domaine dans le Whois : il doit porter le nom de l'entreprise, pas celui du prestataire qui a réalisé le site.
Noter la date d'expiration du domaine et activer le renouvellement automatique avec un moyen de paiement valide.
Vérifier l'adresse e-mail de contact associée au compte registrar, pour ne manquer aucune alerte de renouvellement.
S'assurer qu'un certificat SSL est actif dès la mise en ligne, et que son renouvellement est automatique chez l'hébergeur.
Tester l'adresse du site en https:// dans un navigateur et vérifier l'absence du message « Non sécurisé ».
Se méfier de toute facture de renouvellement reçue par e-mail ou courrier qui ne provient pas directement de l'espace client habituel.
Demander par écrit au prestataire, dès le départ, qui est inscrit comme titulaire du domaine et comment récupérer l'accès en cas de rupture.

Questions fréquentes

Le registrar et l'hébergeur doivent-ils être la même entreprise ?

Non, ce n'est pas obligatoire. Beaucoup d'offres grand public regroupent les deux pour simplifier, mais un domaine enregistré chez un registrar peut très bien pointer vers un hébergement chez un autre prestataire. Ce qui compte, c'est que le titulaire du domaine reste l'entreprise elle-même, quel que soit le choix technique retenu.

Comment vérifier qui est titulaire de mon nom de domaine ?

En interrogeant le Whois du domaine (l'AFNIC propose un outil gratuit pour les .fr). Le champ « titulaire » doit indiquer le nom de votre entreprise. S'il indique le nom d'une agence ou d'un prestataire, il faut demander un transfert de titularité sans attendre.

Le certificat SSL coûte-t-il forcément quelque chose ?

Non, dans l'immense majorité des cas. Les certificats Let's Encrypt sont gratuits et proposés par la quasi-totalité des hébergeurs. Un certificat payant ne se justifie que pour des besoins particuliers, rarement pour un site vitrine ou un site d'artisan.

Que se passe-t-il si mon nom de domaine expire sans renouvellement ?

Le site et les e-mails associés cessent de fonctionner, et le domaine redevient disponible à l'enregistrement après un court délai, ce qui veut dire qu'il peut être racheté par quelqu'un d'autre. Activer le renouvellement automatique évite ce risque.

Comment reconnaître une fausse facture de renouvellement de domaine ?

En vérifiant qu'elle provient bien du registrar réellement utilisé pour votre domaine, de préférence en se connectant directement à son espace client plutôt qu'en cliquant sur un lien reçu par e-mail ou en réglant un courrier reçu par la poste imitant une relance officielle.

Un doute sur votre nom de domaine, votre certificat SSL ou votre hébergement actuel ? Contactez-moi, je peux vérifier votre configuration et sécuriser votre lancement.

À lire aussi :

Nom de domaine et certificat SSL : les pièges à éviter avant de lancer son site