Pourquoi et comment passer au HTTPS en 2017

Il y a peu de temps encore, le passage au HTTPS était considéré comme une option. En soi, Google nous exhorte depuis de nombreux mois et l’apparition d’un filtre HTTPS dans l’algo à changer les règles du jeu concernant les sites Internet. Ces recommandations, si elles n’étaient pas une obligation pour caracoler en tête des SERPs, deviennent aujourd’hui la norme. De nombreux relais d’informations montrent que le passage au HTTPS fleurit sur la toile française. De grands acteurs à l’instar d’OVH (qui représente une part très importante du parc français hébergeur de site Web) s’y sont mis, notamment avec la Strat-up Let’s Encrypt. Plus récemment encore, Google a annoncé la mise à l’index via son navigateur favori (Chrome) des site ne proposant pas le protocole sécurisé.

1. Trafic vs positionnement SEO
2. Exemple de site test
3. Étapes du passage au https
4. Choisir un certificat SSL
5. Déclarer le HTTPS
6. Rediriger du HTTP vers le HTTPS
7. Vérifier le mixed content
8. Vérifier le duplicate content
9. Declaration Search Console

Trafic VS Positionnement SEO, l’occasion d’en voir les conséquences

Choquant pour vous d’opposer trafic et positionnement SEO ? Le premier n’est-il pas une composante de l’autre ? Assurément. Toutefois, un changement des règles d’indexation comme le HTTPS a des conséquences probables en termes de trafic. Beaucoup de Webmasters ayant fait le passage ont pu constater ce genre de difficulté. Toutefois, sachez que le gain en termes de positionnement sur les requêtes à de grandes chances d’être bien meilleur. Couplé au passage à l’AMP (qui doit de fait être paramétré avec le HTTPS), le protocole de sécurisation des données favorise un bon boost en termes de positionnement… Nous avons fait un test sur l’un de nos sites. Les problèmes de trafic sont souvent liés à des problèmes de configuration. Nous y revenons plus loin.

Site test (exemple) pour le passage au HTTPS complété avec l’AMP (WordPress)

Ci dessous un exemple d’augmentation de trafic (et non de perte) sur l’un de nos sites :

Précisons que peu de modifications ont été opérées hormis le fait de passer à l’AMP et au HTTPS cumulés. Sur 3 mois, le site  a tout de même gagné 1000 nouvelles visites mensuelles sans ajout de contenu supplémentaire et sans actions off-page particulière.  Comment procéder pour faire en sorte que le passage se fasse en douceur ?

Les étapes du passage au HTTPS, à faire quoi qu’il arrive tout début 2017

Plusieurs étapes sont nécessaires et vont réclamer une mobilisation de vos ressources à la limite de la refonte 🙂 En suivant celles qui suivent, vous devriez normalement assurer un minimum la transition du point de vue du référencement naturel SEO.

1/ Choisir un certificat SSL

Sur le sujet, vous avez le choix. Plusieurs solutions commerciales existent, à tous les prix, de gratuit à… Allez voir ce que propose votre hébergeur pour commencer.

En bénéficiant d’un hébergement mutualisé chez OVH, vous pouvez automatiquement bénéficier d’un certificat qui en soi n’est pas si simple à configurer et qui s’appelle Let’s Encrypt. Notez d’ailleurs que ce dernier existe sur l’ensemble des sites hébergés chez cet hébergeur… nul doute que si vous n’avez pas fait de quelconque ajustement sur votre fichier .htaccess, vous pourriez voir sur votre navigateur le “potentiel” en mettant un s au http… Faites dès à présent le test, si vous arrivez à naviguer avec un message de type “connexion non sécurisée”, vous avez un contenu dupliqué !

2/ Déclarer le HTTPS sur votre serveur

Avec le cas d’OVH, c’est assez simple puisqu’il faut se rendre dans la section Hébergement de votre manager et générer les certificat. Vous pouvez avoir besoin de solutions alternatives si vous êtes sur du dédié mais dans le cas du mutualisé d’OVH, la solution est automatisée. Si bien que vous devez ensuite préparer les redirections du https vers le https :

3/ Rediriger le HTTP vers le HTTPS

Sur OVH, la solution se place dans le fichier .htaccess à la racine de votre serveur :

[pastacode lang=”markup” manual=”RewriteEngine%20On%0ARewriteCond%20%25%7BSERVER_PORT%7D%2080%0ARewriteRule%20%5E(.*)%24%20https%3A%2F%2Fwww.mondomaine.fr%2F%241%20%5BR%3D301%2CL%5D” message=”Code à insérer dans le fichier .htaccess pour les redirections HttPS” highlight=”” provider=”manual”/]

Notez que si vous disposez d’un site WordPress, vous devez également aller dans les réglages -> lecture et préciser les deux urls avec un “s” pour l’adresse Web WordPress et l’adresse Web du site.

4/ Vérifier le potentiel mixed content sur les URLs passées au HTTPS

Il s’agit surement de la partie la plus délicate. Faire des erreurs dans la modification de la base de données peut totalement ruiner votre site. il est donc primordial avant toute chose de créer une sauvegarde de votre BDD, soit sur votre PC, soit avec votre hébergeur.

Une fois ceci fait, nous allons pouvoir utiliser Search-Replace-DB-master. Il s’agit d’un script qui vous permet de chercher et remplacer les informations dans votre base de données, directement depuis son hébergement. Une fois que vous l’avez téléchargé, décompressez le dossier à la racine de votre site, de sorte à avoir le dossier “Search-Replace-DB-master” au même niveau que les dossiers “wp-admin”, “wp-content” etc …

Avant toute chose, pensez à supprimer ce script une fois les modifications effectuées. Le laisser constitue une faille de sécurité, une porte ouvert à votre base de données qu’un hacker pourrait facilement utiliser.

Pour accéder à ce script, il vous faut simplement entrer son nom à la suite de votre URL comme suivi : http://votresite.com/Search-Replace-DB-master/

Une fois sur cette page, il suffit d’inscrire votre URL de type HTTP://votresite.com dans la première case “search for …” puis l’url HTTPS://votresite.com dans la suivante.Pour déclencher le script, cliquez sur le bouton “Live Run”. Recommencez l’opération avec HTTP://www.votresite.com remplacé par HTTPS://www.votresite.com.

Désormais tous les liens de votre site passent en HTTPS, y compris les contenus comme les images, qui génèrent souvent des erreurs avec votre certificat SSL. Y compris également toutes vos balises (les OG notamment qui sont souvent omises et qui créent des erreurs…)

5/ Prendre en compte le risque du duplicate Content pour le cas de WordPress

Pour WordPress particulièrement, nous avons récemment livré un petit plugin à la communauté permettant d’éviter le phénomène de duplicate content car une version HTTP de WordPress persiste encore. Faites le test avec la fonction site:monsiteineternet.com dans Google, cliquez sur un lien encore indexé en http et vérifiez que vous atterrissez bien sur la version HTTPS. Si ce n’est pas le cas, nous vous proposons http to https forced url.

6/ Déclarer sur Google Search console et modifier Google Analytics pour un site en HTTPS

L’opération est indispensable car vous pouvez vite vous rendre compte que le cache de Google ne joue pas en votre faveur. Il vous faut donc pour des contenus égaux entre le http et le https effectuer des sitemaps sur les deux versions de votre site et modifier votre compte Google Analytics (bien vu Anthony) si vous utilisez ce dernier pour vos statistiques.

Et vous, vous êtes passé au HTTPS ?