Quelle est la différence de sécurité entre les certificats SSL gratuits et payants ?

Un certificat SSL gratuit n’est pas intrinsèquement moins « sûr » qu’un certificat payant. À condition que les deux certificats soient approuvés par les navigateurs, qu’ils utilisent des clés et des algorithmes adaptés et que les serveurs soient configurés de la même manière, ils peuvent fournir le même niveau de chiffrement des communications HTTPS. Ce que l’on paie principalement, c’est une vérification d’identité plus approfondie, une assistance et des capacités de gestion, et non un « chiffrement plus puissant » à proprement parler.

Pour évaluer les différences entre les certificats SSL gratuits et payants, il faut distinguer trois questions : les données transmises sont-elles protégées, l’identité de l’entité derrière le site a-t-elle été vérifiée, et le certificat peut-il fonctionner durablement et correctement ? Le prix ne permet pas de répondre à ces trois questions.

La puissance du chiffrement ne dépend pas du prix du certificat

Le certificat SSL dont on parle couramment sert en réalité à établir des connexions TLS sur les sites web modernes. Il aide le navigateur à vérifier l’identité du serveur et participe à l’établissement d’une connexion chiffrée ; le protocole et la suite cryptographique utilisés dépendent également de la négociation entre le serveur et le navigateur.

Ainsi, un site utilisant un certificat approuvé, une configuration de clés adaptée et TLS 1.2 ou TLS 1.3 ne présente pas automatiquement un niveau de chiffrement différent parce que le certificat est gratuit ou payant. L’affirmation « les certificats payants utilisent tous un chiffrement de 256 bits, tandis que le chiffrement des certificats gratuits est plus faible » confond les clés du certificat, les algorithmes de chiffrement de la connexion et la tarification commerciale.

À l’inverse, un certificat payant ne peut pas compenser la divulgation d’une clé privée, une faille du serveur ou une mauvaise configuration. HTTPS protège le canal de transmission ; il n’empêche pas l’injection de code malveillant sur un site et ne garantit pas non plus que les données client transmises par un formulaire seront stockées de manière appropriée.

La véritable différence porte sur l’identité vérifiée

Les certificats gratuits sont souvent des certificats à validation de domaine, ou DV. L’autorité de certification confirme, au moyen d’une méthode de validation définie, que le demandeur contrôle le domaine. Cette vérification ne confirme pas l’identité de l’entité qui exploite le site, sa capacité à honorer ses engagements ni sa réputation commerciale. Un certificat payant peut également être un simple certificat DV : le fait qu’il soit payant ne signifie pas que l’identité de l’entreprise a été vérifiée.

Les certificats OV et EV permettent de vérifier des informations sur l’entité ; ils n’augmentent pas la puissance du chiffrement lorsque la configuration est identique. Les principaux navigateurs n’affichent généralement pas de manière visible le nom de l’entreprise dans la barre d’adresse lorsqu’un certificat EV est utilisé ; il faut parfois consulter les détails du certificat pour obtenir ces informations. Avant l’achat, il convient donc de vérifier si l’activité nécessite réellement ce type de vérification d’identité, plutôt que de payer uniquement pour un « indicateur de sécurité avancé » attendu.

Un site d’hameçonnage peut lui aussi obtenir un certificat DV valide. Le fait que le navigateur indique que la connexion est protégée signifie uniquement que la connexion a été établie avec le domaine correspondant au certificat ; cela ne prouve pas que ce domaine est le site officiel de la marque que le visiteur voulait consulter.

Les écarts de sécurité en fonctionnement apparaissent souvent lors du renouvellement et du déploiement

Pour un site de génération de demandes de renseignements ou une boutique en ligne, l’expiration du certificat déclenche un avertissement du navigateur et peut affecter la navigation, l’envoi de formulaires et les transactions. Il faut surtout comparer les responsabilités en matière de renouvellement, l’existence d’alertes en cas d’échec et la capacité à rétablir rapidement le service en cas de problème.

Un certificat gratuit n’implique pas nécessairement une maintenance manuelle. Les services compatibles avec le protocole ACME peuvent automatiser la demande et le renouvellement ; lorsque l’automatisation est correctement mise en place, une durée de vie plus courte du certificat n’entraîne pas nécessairement davantage de travail manuel. Les certificats payants ont eux aussi une durée de validité et peuvent nécessiter une nouvelle émission. La durée du contrat d’achat ne correspond pas à la durée pendant laquelle un certificat unique peut être utilisé sans interruption.

La valeur concrète d’une offre payante peut résider dans l’assistance au déploiement, la gestion centralisée, la gestion des actifs couvrant plusieurs domaines ou un délai d’intervention convenu, mais tous les produits ne comprennent pas ces services. Il faut vérifier le périmètre de l’assistance : couvre-t-elle l’installation sur le serveur, la configuration du CDN, les échecs de validation et le remplacement urgent du certificat, ou se limite-t-elle à fournir le fichier du certificat ?

Les sites utilisant un CDN ou un proxy inverse doivent également vérifier les deux segments de connexion : « du navigateur au CDN » et « du CDN au serveur d’origine ». L’activation de HTTPS sur le premier segment ne signifie pas que le second est également chiffré et que le certificat y est correctement vérifié. L’achat d’un certificat plus cher ne résout pas automatiquement ces problèmes de configuration du réseau.

Quels motifs justifient un certificat payant, et lesquels sont souvent exagérés ?

Si le site sert principalement à présenter des produits et à recevoir des demandes de renseignements, et que la plateforme d’hébergement fournit un certificat approuvé, le renouvelle automatiquement et surveille les incidents, un certificat DV gratuit suffit généralement pour répondre aux besoins de chiffrement des transmissions. L’utilisation d’un certificat gratuit ne rend pas intrinsèquement les activités sensibles, telles que la connexion à un compte ou le paiement, moins sûres ; leur sécurité doit également être évaluée au regard de l’architecture de paiement, de la protection des comptes et des exigences relatives au traitement des données.

Si un partenaire exige explicitement une validation de l’organisation dans le cadre de son audit de sécurité, ou si l’entreprise doit gérer de nombreux domaines de manière centralisée et bénéficier d’engagements précis en matière d’intervention, une offre payante repose sur des critères d’achat mesurables. Il faut alors comparer séparément le type de certificat, le périmètre des domaines couverts et les services d’exploitation, plutôt que de comparer uniquement les marques et les prix.

Certains certificats commerciaux incluent une garantie d’indemnisation, mais les événements couverts, les bénéficiaires et les conditions de réclamation sont soumis aux clauses du contrat. Cela ne signifie pas qu’une attaque contre le site ou une perte liée à une transaction donnera automatiquement lieu à une indemnisation. Le montant de l’indemnisation ne constitue pas un indicateur de la puissance du chiffrement.

Le SEO ne constitue pas non plus, à lui seul, une raison suffisante d’acheter un certificat payant. HTTPS est une configuration de base pour un site web, mais on ne peut pas en déduire qu’« un certificat payant améliore le classement davantage qu’un certificat gratuit ». De même, un certificat ne remplace pas les mesures de conformité telles que les informations relatives à la confidentialité, le contrôle des accès ou la protection des données stockées.

Le choix doit reposer sur des critères vérifiables

Avant l’achat, il faut vérifier la compatibilité avec les navigateurs et les appareils ciblés, confirmer que le domaine principal, les sous-domaines et les autres domaines indépendants sont tous couverts, et définir les responsabilités relatives à la conservation de la clé privée, aux alertes de renouvellement et à la gestion des incidents. Un certificat générique a également des limites de couverture : il ne faut pas supposer qu’un seul certificat couvre tous les niveaux de sous-domaines.

Si ces conditions sont déjà satisfaites de manière fiable par le service de création de site ou d’hébergement, choisir un certificat gratuit ne revient pas à abaisser le niveau de sécurité. Si les capacités de maintenance continue sont insuffisantes, acheter un service qui prévoit clairement les responsabilités d’exploitation est plus pertinent que d’acheter uniquement un certificat coûteux. Le budget doit correspondre à des exigences d’identité vérifiables et à des garanties de fonctionnement, et non à l’idée reçue selon laquelle « payant signifie plus sûr ».