Installer un certificat SSL : 4 méthodes pas à pas

Installez un certificat SSL sur un créateur de sites, cPanel, Nginx, Apache ou avec Let's Encrypt et certbot, et vérifiez que tout fonctionne.

Questions fréquentes

Combien de temps faut-il pour installer un certificat SSL ?

Sur un créateur de sites hébergé ou chez un hébergeur proposant le SSL automatique, le certificat est généralement émis sans aucune action de votre part, dès que votre domaine pointe au bon endroit. Une installation manuelle sur votre propre serveur prend le temps de générer une clé, d'obtenir le certificat, de modifier la configuration et de recharger le serveur. Le délai d'émission dépend de l'autorité de certification et de la méthode de validation : il n'existe donc pas de durée unique valable pour tous les fournisseurs.

Un certificat Let's Encrypt est-il vraiment gratuit, et combien de temps dure-t-il ?

Oui, Let's Encrypt délivre ses certificats gratuitement. Sa FAQ indique que les certificats par défaut sont valables 90 jours, sans possibilité de modifier cette durée, et recommande de renouveler les certificats de 90 jours tous les 60 jours. Let's Encrypt a également annoncé que son profil par défaut passera à des certificats de 64 jours le 10 février 2027, puis de 45 jours le 16 février 2028 : une raison de plus d'automatiser le renouvellement plutôt que de le faire à la main (vérifié en novembre 2026).

Pourquoi mon navigateur affiche-t-il encore « Non sécurisé » après l'installation du certificat ?

Les causes les plus fréquentes sont une chaîne de certificats incomplète (le certificat intermédiaire est absent), un certificat émis pour un autre nom que celui que vous visitez, par exemple le domaine nu au lieu de www, ou du contenu mixte : la page est en HTTPS mais charge encore des images ou des scripts en http://. Testez la chaîne avec openssl s_client et cherchez les URL en http:// dans le code source de votre page.

Quelle est la différence entre le fichier de certificat et la clé privée ?

Le certificat est public : votre serveur l'envoie à chaque visiteur. La clé privée reste sur votre serveur et prouve que vous êtes bien le propriétaire du certificat. La documentation de Nginx précise que la clé doit être stockée dans un fichier à accès restreint, mais lisible par le processus maître de nginx. Si vous perdez la clé, elle est irrécupérable et vous devez obtenir un nouveau certificat.

Dois-je installer un certificat SSL si j'utilise un créateur de sites ?

En général, non. Les créateurs de sites hébergés mettent en place et renouvellent automatiquement le HTTPS pour les domaines connectés. Il vous reste à faire pointer le DNS de votre domaine vers le créateur, puis à vérifier que le cadenas apparaît à la fois sur le domaine racine et sur la version www une fois la connexion établie.

Réponse courte : la façon d'installer un certificat SSL dépend de l'endroit où votre site est hébergé. Sur un créateur de sites hébergé, tout est automatique : vous n'avez qu'à connecter votre domaine. Sur un hébergement cPanel, AutoSSL s'en charge le plus souvent, ou bien vous collez un certificat et une clé dans les outils SSL/TLS. Sur votre propre serveur Nginx ou Apache, le plus rapide est d'utiliser Let's Encrypt avec certbot, qui récupère le certificat, modifie votre configuration et programme le renouvellement. Après toute installation, vérifiez le cadenas, la redirection de http vers https et le renouvellement.

Quelle méthode d'installation vous convient ?

Où tourne votre site	Ce que vous faites	Effort	Renouvellement
Créateur de sites hébergé	Connectez votre domaine ; le HTTPS est mis en place pour vous	Le plus faible	Géré par la plateforme
Hébergement mutualisé avec cPanel	Utilisez AutoSSL, ou installez un certificat acheté dans SSL/TLS	Faible à moyen	AutoSSL renouvelle ; un certificat acheté, vous le renouvelez vous-même
Votre propre VPS avec Nginx ou Apache	Lancez certbot, ou installez les fichiers de certificat à la main	Moyen	Certbot programme une tâche de renouvellement automatique
Certificat payant d'un fournisseur	Générez une CSR, envoyez-la, installez les fichiers reçus	Le plus élevé	Vous renouvelez manuellement avant l'expiration

Si vous ne savez pas de quel certificat vous avez besoin (validation de domaine, validation d'organisation, wildcard), lisez d'abord les types de certificats SSL. Si vous hésitez entre gratuit et payant, le coût d'un certificat SSL détaille les options. Pour les bases, consultez qu'est-ce qu'un certificat SSL.

Avant de commencer : la liste de contrôle

Parcourez cette liste avant de toucher au moindre serveur. La plupart des installations qui échouent se résument à l'un de ces points.

[ ] L'enregistrement A/AAAA (ou CNAME) de votre domaine pointe vers le serveur ou la plateforme sur lesquels vous installez le certificat.
[ ] Votre site est accessible en http:// simple sur le port 80 si vous comptez utiliser le webroot de certbot ou ses modules Nginx ou Apache.
[ ] Le port 443 est ouvert dans votre pare-feu et dans le groupe de sécurité de votre hébergeur.
[ ] Vous connaissez tous les noms que le certificat doit couvrir : example.com et www.example.com.
[ ] Si votre domaine a des enregistrements CAA, l'un d'eux autorise l'autorité de certification que vous utilisez.
[ ] Vous avez sauvegardé la configuration actuelle de votre serveur.

Méthode 1 : créateur de sites hébergé (automatique)

Avec un créateur de sites hébergé, vous ne générez aucune clé et ne modifiez aucun fichier serveur. Le principe général est le suivant :

Ajoutez votre domaine personnalisé dans les paramètres de domaine du créateur.
Chez votre registrar, créez les enregistrements DNS que le créateur vous indique.
Attendez la propagation du DNS, puis ouvrez le site en https:// sur le domaine racine et sur www.
Si le cadenas n'apparaît pas, vérifiez à nouveau les enregistrements DNS. Aucun certificat ne peut être émis tant que le domaine ne pointe pas vers la plateforme.

C'est tout le processus. Si vous hésitez encore sur la plateforme, l'offre gratuite de We.Inc vous permet de publier jusqu'à trois sites à partir de modèles prêts à l'emploi ; le créateur IA qui rédige un site à partir d'une simple description démarre avec l'offre Starter, à $20 par mois. Vous pouvez vous inscrire ici.

Méthode 2 : hébergement cPanel

cPanel propose deux voies. Vérifiez la première avant de passer à la seconde.

Vérifiez d'abord AutoSSL

Ouvrez cPanel > Security > SSL/TLS Status (Sécurité > État SSL/TLS). Selon la documentation de cPanel, cette interface permet d'afficher, de mettre à niveau ou de renouveler les certificats de vos domaines, et de repérer les domaines non sécurisés ou sur le point d'expirer. Si votre domaine n'a aucun certificat valide, lancez AutoSSL depuis ce même écran si votre hébergeur l'a activé. C'est votre hébergeur qui décide si cette fonction est disponible (elle se règle dans le Feature Manager de WHM) : si vous ne la voyez pas, demandez-lui.

Installer manuellement un certificat acheté

Allez dans cPanel > Security > SSL/TLS. Sous les clés privées, générez une clé (ou importez-en une que vous possédez déjà). cPanel avertit qu'une clé privée perdue est irrécupérable : conservez-en donc une copie en lieu sûr.
Générez une demande de signature de certificat (CSR) pour votre domaine et envoyez-la au fournisseur du certificat.
Terminez la validation de domaine demandée par le fournisseur, puis téléchargez le certificat et le CA bundle.
Revenez dans la section SSL/TLS, ouvrez l'écran d'installation et de gestion du SSL pour votre site, puis collez le certificat, la clé privée correspondante et le CA bundle.
Enregistrez, puis testez le site en https://.

La documentation de cPanel précise que les enregistrements CAA de votre zone DNS limitent les autorités de certification autorisées à émettre un certificat pour votre domaine. Si l'émission échoue, vérifiez dans le Zone Editor (cPanel > Domains > Zone Editor) qu'aucun enregistrement CAA ne pose problème.

Les noms d'interface peuvent varier d'une version de cPanel à l'autre ; fiez-vous aux libellés affichés à l'écran si votre disposition diffère légèrement.

Méthode 3 : Let's Encrypt avec certbot (Nginx ou Apache)

C'est la voie classique pour un VPS ou un serveur dédié que vous gérez vous-même. Les étapes ci-dessous suivent les instructions de Certbot pour Nginx sous Linux avec snap (vérifié en novembre 2026). Le site de Certbot propose des instructions équivalentes pour Apache et d'autres systèmes : choisissez-y votre propre combinaison.

Vérifiez que votre site répond déjà sur http://votredomaine.com. Les modes Nginx et Apache de certbot exigent un site HTTP existant, accessible sur le port 80.
Si une ancienne version de certbot est installée via le gestionnaire de paquets de votre système, supprimez-la d'abord (par exemple avec apt, dnf ou yum).
Installez certbot :

``bash sudo snap install --classic certbot sudo ln -s /snap/bin/certbot /usr/local/bin/certbot ``

Obtenez un certificat et laissez certbot modifier automatiquement votre configuration Nginx :

``bash sudo certbot --nginx ``

Pour obtenir uniquement le certificat et modifier la configuration vous-même, utilisez plutôt sudo certbot certonly --nginx. Pour Apache, l'option équivalente est --apache.

Testez le renouvellement automatique :

``bash sudo certbot renew --dry-run ``

Les paquets de certbot sont livrés avec une tâche cron ou un timer systemd qui renouvelle les certificats avant leur expiration, et systemctl list-timers indique si le timer est actif. Si le port 80 est bloqué, ou si vous voulez un certificat wildcard, utilisez plutôt la validation DNS.

Méthode 4 : installer les fichiers de certificat à la main dans Nginx

Utilisez cette méthode lorsqu'un fournisseur vous a remis un fichier de certificat et un CA bundle. La documentation de Nginx décrit les éléments requis : le paramètre ssl sur le socket d'écoute, ainsi que les chemins du certificat et de la clé.

``nginx server { listen 443 ssl; server_name www.example.com; ssl_certificate www.example.com.chained.crt; ssl_certificate_key www.example.com.key; } ``

Deux détails expliquent la plupart des erreurs d'installation manuelle :

L'ordre de la chaîne. Si le fournisseur livre un bundle, concaténez les fichiers en plaçant d'abord le certificat de votre serveur : cat www.example.com.crt bundle.crt > www.example.com.chained.crt. La documentation de Nginx avertit qu'inverser l'ordre empêche nginx de démarrer avec une erreur « key values mismatch ».
Les permissions de la clé. Le fichier de la clé privée doit avoir un accès restreint, tout en restant lisible par le processus maître de nginx.

Par défaut, nginx utilise TLSv1.2 et TLSv1.3 : vous n'avez donc généralement pas besoin de définir explicitement les protocoles. Lancez sudo nginx -t pour tester la configuration, puis rechargez nginx.

Pour Apache, les trois mêmes ingrédients s'appliquent : activez le module SSL, faites pointer l'hôte virtuel SSL vers vos fichiers de certificat, de clé et de chaîne, puis testez la configuration et rechargez. Les noms des directives diffèrent de ceux de Nginx ; suivez la documentation Apache de votre distribution.

Vérifier l'installation

Ne vous arrêtez pas à « le site s'affiche ». Contrôlez chaque point :

Cadenas sur les deux noms. Visitez https://example.com et https://www.example.com.
Redirection. Ouvrez http://example.com et vérifiez que vous arrivez bien sur https://.
Chaîne. Lancez openssl s_client -connect example.com:443, la commande que suggère la documentation de Nginx pour vérifier que le serveur envoie la chaîne complète.
Contenu mixte. Ouvrez la console développeur de votre navigateur sur quelques pages et repérez les requêtes http:// bloquées. Remplacez ces URL par des URL en https://.
Expiration et renouvellement. Notez la date d'expiration et vérifiez que le renouvellement est automatique, ou inscrivez cette date dans votre agenda.

Dépannage express

Le navigateur signale un émetteur non approuvé : le certificat intermédiaire est manquant. Reconstruisez le fichier de chaîne comme indiqué plus haut.
Nginx ne démarre plus après la modification : vérifiez l'ordre du certificat et de la clé, ainsi que la correspondance entre la clé et le certificat.
Certbot n'arrive pas à valider : vérifiez que le DNS pointe vers ce serveur et que le port 80 est ouvert, ou passez à la validation DNS.
Le certificat couvre le mauvais nom : réémettez-le en listant à la fois le domaine racine et www.

Si vous construisez un site de service local et voulez qu'il soit bien classé, le HTTPS n'est que la base. Découvrez comment les installateurs de panneaux solaires et les installateurs de gouttières structurent leurs sites pour passer à l'étape suivante.

Commencer gratuitement · Sans carte bancaire

Umair Ali Sadaqat

Fondateur de We.Inc

Umair est le fondateur de We.Inc. Il écrit sur la création de sites web avec l’IA, les agences et la gestion d’un studio web.

Prêt à créer quelque chose de grand ?

Rejoignez les 15,000+ entreprises qui utilisent We.Inc pour lancer, développer et automatiser, le tout depuis une seule plateforme.