HTTPS site médical : le certificat SSL non négociable

Votre site médical commence par http:// et non https:// ? Chrome, Firefox et Safari affichent alors « Non sécurisé » dans la barre d’adresse, visible de tous vos patients avant même qu’ils aient lu votre contenu. Dans un secteur où la confiance est la première monnaie, c’est un frein immédiat à la prise de contact. Ce sujet est l’un des six piliers du socle technique d’un site médical. Ici, nous détaillons pourquoi le HTTPS est non négociable, comment le mettre en place et comment vérifier qu’il est correctement configuré sur votre site de cabinet.

Qu’est-ce que le HTTPS et pourquoi est-ce critique pour un site de santé ?

HTTPS signifie HyperText Transfer Protocol Secure. La différence avec HTTP est la couche de chiffrement TLS (Transport Layer Security) qui protège les données en transit entre le serveur et le navigateur du patient. Concrètement, si un patient remplit votre formulaire de contact sur un site HTTP, ses données sont transmises en clair sur le réseau — potentiellement lisibles par un intermédiaire malveillant, comme un hotspot Wi-Fi public dans une salle d’attente ou un café.

Sur un site médical, les patients saisissent parfois des informations sensibles : leur nom, leurs coordonnées, le motif de leur demande. Le RGPD impose une sécurisation des données personnelles dès leur collecte, et un formulaire HTTP n’est pas conforme à l’article 32 du règlement. Ce point n’est pas théorique : la CNIL peut sanctionner les responsables de traitement qui ne sécurisent pas correctement les données collectées en ligne.

Au-delà de la conformité, Google a confirmé en 2018 qu’il pénalise les sites HTTP dans son classement et a demandé à Chrome de marquer tous les sites HTTP comme « Non sécurisé ». L’indexation de votre site peut aussi être affectée : Google indexe moins volontiers les contenus HTTP et peut exclure des pages de son index si elles ne présentent pas les garanties minimales de sécurité.

Comment fonctionne un certificat SSL et qui le délivre ?

Un certificat SSL/TLS est un fichier numérique délivré par une autorité de certification (CA — Certificate Authority), installé sur votre serveur d’hébergement. Il remplit deux fonctions : il authentifie l’identité de votre site (le patient sait qu’il parle bien à votre cabinet, pas à une copie malveillante) et il active le chiffrement des échanges.

Pour un site médical de cabinet, un certificat de validation de domaine (DV) suffit. Ce type de certificat confirme que vous contrôlez le nom de domaine — c’est le niveau standard pour la quasi-totalité des sites professionnels qui ne traitent pas de paiement en ligne. Ces certificats sont disponibles gratuitement via Let’s Encrypt, une autorité reconnue par tous les navigateurs majeurs depuis 2016 et soutenue par des organisations comme l’Electronic Frontier Foundation, Mozilla et Cisco.

La quasi-totalité des hébergeurs sérieux proposent aujourd’hui l’activation de Let’s Encrypt en un clic depuis leur panneau de contrôle. Un certificat Let’s Encrypt a une durée de validité de 90 jours, mais le renouvellement est entièrement automatique lorsqu’il est correctement configuré. Si votre hébergeur ne gère pas ce renouvellement, un certificat expiré produit un message d’erreur encore plus alarmant qu’une page HTTP : « Votre connexion n’est pas privée » avec un fond rouge dans Chrome.

Il existe également des certificats payants (OV — validation d’organisation, ou EV — validation étendue) qui impliquent une vérification plus approfondie de votre identité. Pour un site de cabinet médical ou paramédical standard, ils n’apportent pas de bénéfice visible supplémentaire. Le DV Let’s Encrypt est la solution recommandée.

Ce qui est interdit ou ne fonctionne pas avec le HTTPS sur un site médical

• Le contenu mixte (mixed content) : si votre site est en HTTPS mais charge des images, des scripts ou des feuilles de style en HTTP, le navigateur bloque ces ressources ou affiche un avertissement de sécurité. Toutes les ressources intégrées à votre site — images, polices, vidéos, scripts tiers — doivent être servies en HTTPS. Vous pouvez diagnostiquer ce problème gratuitement avec l’outil Why No Padlock (whynopadlock.com) qui liste chaque ressource problématique.
• Oublier les redirections HTTP vers HTTPS : passer en HTTPS sans rediriger les anciennes URL HTTP crée des pages en double. Toutes les adresses http:// doivent rediriger automatiquement (code HTTP 301, redirection permanente) vers leur équivalente https://. Sans cela, Google considère que votre site existe en deux versions distinctes — ce qui dilue la valeur SEO de vos pages.
• Utiliser un certificat auto-signé : un certificat généré par vos propres soins, sans passer par une autorité de certification reconnue, n’est pas approuvé par les navigateurs. Il produit la même alerte de sécurité rouge qu’un site sans HTTPS. Ce type de certificat est réservé à des environnements internes et n’a pas sa place sur un site public.
• Ne pas mettre à jour les URL internes après la migration : lors du passage de HTTP à HTTPS, les liens internes et les images référencés en dur avec http:// dans le code de votre site doivent être mis à jour. Sur WordPress, l’outil de remplacement en base de données (Search & Replace) ou un plugin comme Really Simple SSL s’en charge automatiquement.

Vérifier et activer le HTTPS sur votre site en pratique

Pour vérifier en trente secondes : entrez votre URL dans votre navigateur et regardez si un cadenas s’affiche à gauche de l’adresse. Cliquez sur le cadenas pour voir les détails du certificat, notamment sa date d’expiration et l’autorité qui l’a délivré. Pour une vérification technique complète, l’outil SSL Labs (ssllabs.com/ssltest/) analyse gratuitement votre certificat et donne une note de A+ à F. La cible pour un site de santé est la note A ou A+.

Si votre site est encore en HTTP, la procédure est la suivante : contactez votre hébergeur ou accédez à votre panneau de contrôle (cPanel, Plesk, Infomaniak, o2switch, OVH…) pour activer Let’s Encrypt. La plupart le proposent sans frais supplémentaires. Sur WordPress, le plugin Really Simple SSL détecte votre certificat et bascule automatiquement les URL internes et les redirections. Une fois le HTTPS activé, soumettez la version https:// de votre sitemap dans Google Search Console pour que Google prenne en compte la nouvelle version canonique de votre site. Pour les aspects de performance qui accompagnent cette sécurité, notre article sur la vitesse et les Core Web Vitals est la prochaine étape naturelle.

HTTPS et obligations déontologiques : ce que ça ne remplace pas

La sécurisation HTTPS est une obligation technique et réglementaire, mais elle ne dispense pas des obligations propres aux professionnels de santé. Un site en HTTPS reste soumis aux règles du code de déontologie médicale : pas de témoignages patients, pas de comparaison entre praticiens, pas de promesses de résultats thérapeutiques, pas de publicité contraire à la dignité de la profession. Le HTTPS sécurise le canal de communication, il ne valide pas le contenu. Ces deux dimensions — technique et déontologique — doivent être respectées indépendamment.

Par ailleurs, si votre site intègre un formulaire de prise de rendez-vous ou un espace patient connecté à votre logiciel de gestion, les exigences montent d’un cran : les données de santé relèvent de la catégorie « données sensibles » au sens du RGPD et nécessitent des garanties supplémentaires au-delà du seul HTTPS (hébergement HDS, journalisation des accès, etc.). Le HTTPS reste le prérequis absolu, mais il est insuffisant seul pour ces usages avancés.

Questions fréquentes

Le HTTPS coûte-t-il quelque chose pour un site médical ?

Non, dans la grande majorité des cas. Let’s Encrypt délivre des certificats SSL gratuits reconnus par tous les navigateurs. La plupart des hébergeurs l’intègrent directement dans leur offre standard. Certains hébergeurs premium proposent des certificats payants avec des garanties financières supplémentaires, mais un certificat DV Let’s Encrypt est largement suffisant pour un site médical de cabinet. Si votre hébergeur facture l’activation du HTTPS en supplément, c’est un signe que vous devriez peut-être envisager un autre prestataire.

Que risque un site médical encore en HTTP ?

Les navigateurs Chrome, Firefox et Safari affichent « Non sécurisé » visible par les patients dès l’arrivée sur le site. Google pénalise les sites HTTP dans ses classements depuis 2018. Les formulaires de contact sans HTTPS ne sont pas conformes au RGPD pour la collecte de données personnelles — ce qui expose le responsable du traitement à un risque de sanction de la CNIL. Le risque de perte de confiance des patients est immédiat : des études de comportement utilisateur montrent que la majorité des internautes quittent un site affichant l’alerte « Non sécurisé ».

Comment savoir si mon certificat HTTPS va bientôt expirer ?

Cliquez sur le cadenas dans votre navigateur, puis sur « Le certificat est valide » pour voir la date d’expiration. Google Search Console envoie également une alerte si votre certificat expire dans les 30 jours. Si votre hébergeur utilise Let’s Encrypt, le renouvellement est normalement automatique — vérifiez que cette option est bien activée dans votre panneau de contrôle. Vous pouvez aussi configurer une alerte via l’outil gratuit SSL Checker ou via UptimeRobot qui surveille automatiquement vos certificats.

Mon site WordPress est-il automatiquement en HTTPS après l’achat d’un hébergement ?

Pas systématiquement. L’hébergeur doit activer le certificat sur votre domaine, et WordPress doit être configuré pour utiliser les URL en https://. Ces deux étapes sont distinctes. Si vous avez activé Let’s Encrypt mais que votre site affiche toujours http://, vérifiez les réglages WordPress (Réglages > Général > Adresse WordPress et adresse du site) et installez un plugin de redirection comme Really Simple SSL pour basculer toutes les URL automatiquement.

Un sous-domaine comme agenda.moncabinet.fr a-t-il besoin de son propre certificat ?

Oui. Chaque sous-domaine doit disposer d’un certificat valide. Let’s Encrypt permet de couvrir plusieurs sous-domaines avec un certificat wildcard (*.moncabinet.fr) ou en listant explicitement chaque sous-domaine lors de la génération du certificat. Si votre outil de prise de rendez-vous en ligne est hébergé par un prestataire tiers sur son propre sous-domaine, c’est à ce prestataire de gérer son certificat — vérifiez-le dans la barre d’adresse lors de la prise de rendez-vous.

Sources

• Google, « HTTPS as a ranking signal », Google Search Central Blog, 2014, mis à jour 2024.
• Let’s Encrypt, letsencrypt.org, documentation technique et statistiques d’adoption.
• Règlement général sur la protection des données (RGPD), article 32 — sécurité du traitement, JOUE L 119/1, 2016.
• CNIL, « Sécurité des données personnelles », guide pratique pour les responsables de traitement, 2023.
• SSL Labs, « SSL Server Rating Guide », Qualys, 2023.

Article informatif. Le référencement évolue et aucun résultat n’est garanti : privilégiez les pratiques conformes aux consignes de Google et à votre code de déontologie.