Le forfait de création de site inclut déjà HTTPS : faut-il acheter un certificat SSL ?

Le devis de création du site inclut déjà le HTTPS. Faut-il payer les « frais d’achat du certificat SSL » qui nous ont été facturés par la suite ? En général, il n’est pas nécessaire d’en acheter un autre. Si le certificat inclus dans l’offre est reconnu par les principaux navigateurs, couvre les domaines réellement utilisés et comprend le renouvellement continu ainsi que la maintenance du déploiement, il répond aux besoins de base en matière de chiffrement des transmissions pour un site d’entreprise classique ou un site vitrine destiné à l’exportation.

Un budget supplémentaire ne se justifie réellement que si la couverture des domaines est insuffisante, si le contrat exige explicitement une validation de l’identité de l’organisation ou si le service existant n’inclut pas le renouvellement, la migration, le déploiement ou d’autres prestations similaires. Lorsque vous recherchez acheter ssl (acheter un certificat SSL), vérifiez d’abord les limites du service déjà inclus au lieu de comparer directement les prix des certificats. Vous éviterez ainsi de payer deux fois ou de négliger les coûts de maintenance après la mise en ligne.

Que comprend réellement la mention « HTTPS inclus » ?

HTTPS est un mode de communication qui protège les données échangées sur un site grâce au protocole TLS. Dans le secteur, on continue d’appeler « certificat SSL » le certificat nécessaire à cet effet. La mention « compatible HTTPS » dans une offre peut simplement signifier que le système permet l’installation d’un certificat ; la mention « certificat offert » ne garantit pas non plus que les renouvellements à long terme soient inclus. La compatibilité, le certificat offert et la gestion complète ne correspondent pas à la même prestation.

Demandez au prestataire de préciser séparément les éléments livrés : qui demande le certificat, qui effectue la validation du domaine, qui l’installe, qui surveille sa date d’expiration et qui intervient en cas d’échec du renouvellement. Le fait que le site s’ouvre normalement dans le navigateur indique seulement que la connexion fonctionne à l’instant présent ; cela ne prouve pas que la maintenance ultérieure est comprise dans le contrat.

Il ne faut pas non plus assimiler simplement un certificat gratuit à une « sécurité faible » et un certificat payant à une « sécurité élevée ». Lorsque les algorithmes, la configuration des clés et les paramètres du protocole sont comparables, le paiement ne garantit pas à lui seul un chiffrement plus puissant des transmissions. Les différences concernent davantage la validation de l’identité, la couverture des domaines, l’assistance à la gestion et les services prévus au contrat.

Vérifiez d’abord les domaines couverts avant de décider d’acheter

Un site destiné à l’exportation peut utiliser simultanément un domaine principal, un domaine www, des sous-domaines multilingues et un sous-domaine pour sa boutique en ligne. Pour savoir si le certificat suffit, vérifiez les adresses réellement utilisées : la seule mention « un site » ne suffit pas.

Un certificat générique ne couvre pas non plus toutes les adresses. Par exemple, *.example.com couvre généralement shop.example.com, mais pas automatiquement example.com ni a.shop.example.com. Avant de payer, demandez au prestataire la liste des domaines figurant dans le certificat et vérifiez-la point par point par rapport à la liste des domaines prévus pour la mise en ligne.

Dans quels cas est-il justifié d’ajouter un budget pour un certificat ?

Lorsqu’une exigence de vérification d’identité est clairement spécifiée. Un certificat DV classique valide principalement le contrôle du domaine ; les certificats OV et EV impliquent la vérification de l’identité de l’organisation. Si un dossier d’appel d’offres client, un accord de partenariat ou une politique de sécurité interne impose un type de validation particulier, choisissez le certificat en conséquence. Ne partez toutefois pas du principe que le nom de l’entreprise s’affichera nécessairement de manière bien visible dans le navigateur.

Lorsque la plateforme existante ne permet pas de couvrir le périmètre de déploiement requis. Le site, les interfaces et la boutique en ligne peuvent être hébergés sur différents services. Même si le site officiel inclut déjà le HTTPS, vérifiez si une configuration distincte est nécessaire pour les interfaces et les connexions à l’origine. Acheter simplement un certificat supplémentaire ne réalisera pas automatiquement ces déploiements.

Lorsqu’un service de gestion supplémentaire est réellement nécessaire. Si plusieurs équipes gèrent différents domaines, vous pourriez avoir besoin d’une surveillance centralisée des dates d’expiration, d’un déploiement par lots ou d’une intervention en cas d’incident. Dans ce cas, les frais doivent correspondre à des prestations précises, et non à une simple mention « SSL avancé ». Un certificat payant nécessite lui aussi un renouvellement et une maintenance ; il ne remplace pas les responsabilités d’exploitation et de maintenance.

Le renouvellement et les coûts de sortie comptent davantage que le prix de la première année

Pour comparer les devis sur une base cohérente, précisez qui prend en charge les frais du certificat, son installation, les renouvellements ultérieurs, l’ajout de domaines, le traitement des incidents et l’assistance à la migration. Ne comparez pas directement une offre « gratuite la première année » à un autre devis qui comprend une maintenance continue.

• Renouvellement : vérifiez si le renouvellement automatique est inclus et si quelqu’un intervient en cas de modification de la résolution du domaine ou d’échec de la validation.
• Extension : les nouveaux sous-domaines, les sites linguistiques indépendants ou la boutique en ligne entraînent-ils des frais supplémentaires ? Sur quelle base sont-ils calculés ?
• Migration : le certificat peut-il être transféré lors d’un changement de prestataire de création de site, ou la nouvelle plateforme doit-elle en émettre un autre ? Qui prend en charge la transition ?
• Incident : définissez les délais d’intervention et les responsabilités de résolution en cas d’expiration du certificat, d’inadéquation du domaine ou de chaîne de certificats incomplète.

La courte durée de validité d’un certificat ne signifie pas qu’il n’est pas fiable : l’essentiel est la fiabilité du processus de renouvellement automatique. À l’inverse, payer une prestation pour plusieurs années ne signifie pas que le même certificat peut rester inchangé pendant toute cette période. Distinguez la durée du contrat de service de la durée de validité du certificat.

Comment vérifier une offre groupée ?

Par exemple, les informations sur les fonctionnalités du déploiement sur des serveurs mondiaux d’Everfine mentionnent le chiffrement HTTPS de l’ensemble du site et le déploiement de sites indépendants multilingues. Lors de l’achat, il faut néanmoins vérifier les domaines couverts par le devis, le type de validation du certificat, l’inclusion ou non du renouvellement automatique et les frais de déploiement des sites ajoutés par la suite. La liste des fonctionnalités indique l’orientation de l’offre, mais ne remplace pas des conditions précises de livraison.

De même, la protection contre les attaques DDoS, les sauvegardes et le HTTPS remplissent des fonctions différentes. La présence d’autres dispositifs de sécurité dans une offre ne dispense pas de vérifier le certificat ; acheter un certificat ne signifie pas non plus que toutes les exigences de sécurité du site ou de conformité des paiements sont satisfaites.

Avant de payer, demandez au prestataire une description permettant de vérifier les prestations

Vous pouvez demander que le devis précise : « La demande, l’installation et le renouvellement continu d’un certificat reconnu couvrant les domaines listés sont inclus ; les frais d’ajout de domaines et de migration sont indiqués séparément. » Si le prestataire recommande un achat séparé, demandez-lui de préciser quelle capacité manque exactement au certificat existant, plutôt que de se contenter d’affirmer qu’un « certificat payant est plus sûr ».

Lors de la réception du site, accédez successivement au domaine principal, aux sous-domaines et aux pages contenant des formulaires importants. Vérifiez le nom du certificat, sa date d’expiration et les avertissements de sécurité du navigateur, puis demandez à un technicien de confirmer la redirection HTTP vers HTTPS, l’absence de contenu mixte sur les pages et la surveillance des renouvellements. En l’absence de lacunes de couverture, d’exigences de vérification d’identité ou de besoins en services supplémentaires, vous pouvez conserver le certificat inclus dans l’offre sans ajouter de poste d’achat redondant.