Oui, il faut migrer. La vraie question est ailleurs
Une douzaine d'années que je fais des audits techniques, et cette question revient encore, souvent posée à voix basse comme si elle était naïve : est-ce que passer mon site en HTTPS va améliorer mon référencement ? La réponse tient en deux temps. Oui, il faut migrer, ce n'est plus un débat. Non, ce n'est pas ça qui va vous faire gagner dix places.
Google a officiellement intégré le HTTPS parmi ses signaux de classement en 2014, en précisant d'emblée qu'il s'agissait d'un signal léger, une sorte de critère de départage entre deux pages par ailleurs équivalentes. Rien n'a changé sur ce point depuis : la documentation officielle de Google le confirme toujours.
Ce qui a changé, c'est tout le reste. Chrome affiche un avertissement « Non sécurisé » sur les pages HTTP depuis 2018, les internautes ont appris à chercher le cadenas, et un site resté en HTTP en 2026 envoie le même message qu'une vitrine poussiéreuse : personne ne s'en occupe. La vraie question n'est donc pas « faut-il migrer », mais « comment migrer sans rien casser ».
Certificat SSL, TLS, HTTPS : on remet les choses à plat
Trois termes, une seule mécanique. HTTPS, c'est le protocole HTTP classique auquel on ajoute une couche de chiffrement appelée TLS (on dit encore « SSL » par habitude, c'est l'ancien nom). Concrètement, tout ce qui circule entre le navigateur du visiteur et votre serveur est chiffré : personne sur le trajet ne peut lire ni modifier les données. Pour un formulaire de contact, un espace client ou un paiement, c'est la base.
Le certificat, lui, est le fichier qui prouve que votre domaine est bien celui qu'il prétend être. Il est délivré par une autorité de certification. Il en existe plusieurs niveaux de validation (domaine, organisation, validation étendue), mais je vous arrête tout de suite : pour Google, un certificat valide est un certificat valide. Le niveau de validation ne change rien au classement.
Quant à l'argument du coût, il est mort depuis longtemps. Let's Encrypt délivre des certificats gratuits et renouvelables automatiquement, et la plupart des hébergeurs les activent en un clic. Si votre hébergeur vous facture le SSL comme une option premium, c'est un signal sur l'hébergeur, pas sur le SSL.
Ce que le HTTPS change vraiment pour votre référencement
Soyons précis, parce que c'est là que les vendeurs de miracles s'engouffrent. L'effet direct sur le classement existe, mais il est faible. Si vos concurrents vous devancent, ce n'est pas le cadenas qui inversera la tendance : c'est le contenu, la structure et les liens.
Les effets indirects, en revanche, sont bien réels. Un avertissement « Non sécurisé » sur un formulaire fait fuir une partie des visiteurs, et un visiteur qui repart aussitôt, c'est un signal comportemental de plus qui joue contre vous. La confiance perçue se travaille aussi à ce niveau.
Il y a enfin l'aspect purement technique, celui que je regarde en audit. Les navigateurs n'activent HTTP/2 qu'à travers une connexion chiffrée, or ce protocole accélère nettement le chargement des pages. Et bon nombre de fonctionnalités modernes (géolocalisation, notifications, entre autres) exigent un contexte sécurisé. Rester en HTTP, c'est se couper de tout ça.
Retenez ceci : migrer ne fera pas décoller vos positions, mais rester en HTTP finira par vous coûter des visiteurs, de la confiance, et donc du référencement.
Le vrai risque n'est pas de migrer, c'est de migrer salement
Pour Google, passer de HTTP à HTTPS est un déménagement : chaque URL du site change d'adresse, même si seul le préfixe bouge. Le moteur doit tout re-crawler, tout ré-associer. Bien géré, ce transfert est indolore. Mal géré, vous vous retrouvez avec deux versions du site qui répondent en même temps, des signaux dilués et des positions qui glissent. Le sujet rejoint d'ailleurs la check-list plus large pour réussir une migration de site web sans y laisser son SEO, dont la bascule HTTPS n'est qu'un cas particulier.
Dans les crawls que j'analyse, les dégâts viennent presque toujours des mêmes oublis : des redirections absentes ou en chaîne, des balises canonical qui pointent encore vers l'ancienne version, et du contenu mixte (une page sécurisée qui charge des images ou des scripts en HTTP, ce qui fait sauter le cadenas dans le navigateur).
La bascule propre, dans l'ordre
Voici la séquence que j'applique sur les sites que j'accompagne. Elle tient en une matinée pour un site vitrine, un peu plus pour une grosse boutique.
- Installer et tester le certificat avec le renouvellement automatique activé. Un certificat expiré affiche une page d'erreur pleine largeur à vos visiteurs, c'est la panne la plus bête du web.
- Rediriger chaque URL HTTP vers son équivalente HTTPS, en une seule étape, jamais en chaîne. Si le mécanisme n'est pas clair pour vous, j'ai détaillé ce qu'est une redirection 301 et comment la mettre en place.
- Mettre à jour les liens internes en dur dans les menus, les contenus et les templates, pour ne pas faire transiter chaque clic par une redirection.
- Vérifier les canonical : chaque page doit se déclarer elle-même en HTTPS. Si ce mot ne vous parle pas, je vous renvoie vers mon article qui explique à quoi sert la balise canonical.
- Traquer le contenu mixte : images, scripts et feuilles de style doivent tous se charger en HTTPS. Un crawler ou la console du navigateur vous sort la liste en quelques minutes.
- Côté Search Console : déclarer la propriété HTTPS, soumettre le sitemap avec les nouvelles URL, puis surveiller la couverture d'indexation.
Ensuite, on laisse vivre. Le re-crawl complet prend de quelques jours à quelques semaines selon la taille du site, et c'est normal de voir les rapports fluctuer pendant cette période.
Les erreurs que je croise encore en audit
La plus fréquente, et de loin : les deux versions du site qui répondent en parallèle, sans redirection. Le site existe alors en double aux yeux du moteur, avec les problèmes de contenu dupliqué et de dilution qui vont avec. Ça se détecte en trente secondes : tapez l'adresse de votre site en http:// dans le navigateur et regardez si vous êtes redirigé.
Viennent ensuite les migrations à moitié faites : la page d'accueil en HTTPS mais des sous-domaines oubliés en HTTP, un sitemap qui liste encore les anciennes URL, ou des redirections posées en 302 (temporaires) au lieu de 301 (permanentes). Rien d'irrécupérable, mais chaque incohérence ralentit la consolidation des signaux.
Franchement, une bascule HTTPS est l'une des opérations techniques les mieux documentées qui soient. Prenez la check-list ci-dessus, cochez chaque ligne, et vous ferez partie des migrations qui ne laissent aucune trace dans les courbes de trafic.