SSL et SEO – Deux comme la malchance et le soufre?

La plupart des webmasters ont probablement évité les coûts et les tracas liés au passage à SSL. Mais ensuite, Internet Research Group – un consortium d’acteurs technologiques majeurs tels que la Fondation Mozilla, Google et Facebook – a remis la question à l’ordre du jour avec l’initiative «Encryptons-nous». L’objectif à long terme est de faire de SSL le standard Internet, etc. réseau sécurisé pour tous à garantir.

Depuis fin 2015, grâce à "Let's Encrypt", il est désormais possible de configurer facilement et gratuitement SSL sur des pages Web. Pour les exploitants de sites, il est maintenant grand temps de s'attaquer au problème du cryptage. Cependant, le devrait Les défis sont gardés à l'espritqui se posent en termes d’optimisation des moteurs de recherche via SSL.

SSL – les faits les plus importants

Que signifie SSL?

L'abréviation SSL signifie Couche de sockets sécurisée et dénote un protocole de cryptage pour la transmission sécurisée de données sur Internet. On parle parfois de TLS (Transport Layer Security). TLS est le protocole successeur de SSL et donc la norme de cryptage actuelle. Cependant, le nom ne pourrait jamais vraiment prévaloir.

Depuis quand existe-t-il SSL?

La première version de SSL a été publiée en 1994 sous le nom de SSL 1.0 par Netscape Communications, peu après le lancement de Mosaik, le premier navigateur Web largement utilisé. En raison d'importantes lacunes en matière de sécurité, les versions 2.0 (1995) et 3.0 (1996) ont été ajoutées à la suite. Seule la version 3.0 était suffisamment sécurisée pour être reconnue par l’IETF en tant que norme (voir RFC 6101) et donc s’établir.

Qu'est-ce qu'un certificat SSL?

Pour utiliser SSL, vous avez besoin d’un certificat, appelé clé ou Clé publique contient. Cette clé est émise par un petit nombre d'autorités de certification (AC) de confiance. Les autorités de certification doivent vérifier l'identité du propriétaire du serveur ou du domaine avant de délivrer le certificat. VeriSign, Thawte et Symantec font partie des autorités de certification les plus connues.

Figure 1Liste des autorités de certification approuvées par Firefox actuel.

Comment fonctionne SSL?

Si une connexion à une page Web est établie et qu'une connexion cryptée est demandée, le serveur demandé répond d'abord avec son certificat. Cela permet à l'hôte demandeur de l'autorité de certification de vérifier l'identité du serveur. Si cela réussit, une connexion cryptée est créée. À partir de ce moment, le serveur et le navigateur transfèrent les données – telles que les numéros de cartes de crédit ou les codes PIN – de manière à ce qu'elles ne soient plus lisibles par des tiers.

Un exemple simple:

Chaque fois que "HTTPS://www.amazon.de" est appelé, Amazon renvoie d'abord sa clé publique. Le navigateur personnel vérifie s'il approuve l'autorité de certification appropriée (avec Amazon, il s'agit actuellement de Symantec) et envoie la clé à cet emplacement. Symantec vérifie ensuite si la clé est bien insérée dans le verrou déposé pour amazon.de et vérifie la connexion entre le navigateur et amazon.de en cas de succès.

Comment reconnaître les pages cryptées SSL?

L'adresse d'une page cryptée commence toujours par HTTPS. Tout le reste dépend du navigateur utilisé. L'une des icônes les plus courantes pour une connexion sécurisée est le verrou verrouillé sur un fond vert qui apparaît sur Firefox, Safari et Google Chrome, par exemple.

Figure 2: Le verrou vert et le nom de protocole HTTPS signalent une connexion sécurisée.

Avantages possibles de SSL

1. Meilleur classement

À l'été 2014, Google a officiellement ajouté le cryptage SSL à la liste des facteurs de classement. Pour Google, il s'agit d'une étape assez inhabituelle, car la société qui dispose d'informations sur ses critères de classement est généralement très couverte. Selon ses propres données, Google souhaite promouvoir la sécurité (des données) sur le réseau – correspond à l'engagement de "Let's Encrypt". Des études montrent que le passage de HTTP à HTTPS apporte en réalité d'importants avantages de classement aux pages Web.

Cependant, le cryptage SSL est actuellement loin d'être standard. Même les grands sites Web ne disposent toujours pas de connexions sécurisées. Une connexion cryptée reste un moyen de garder une longueur d’avance sur vos concurrents.

2. Plus grande confiance de l'utilisateur

Outre la possibilité d'accroître la visibilité, la confiance accrue des utilisateurs grâce au protocole SSL – également appelé confiance – constitue un autre avantage. Grâce à la barre d'adresse verte et au symbole de verrouillage, le cryptage est un signe de confiance clairement reconnaissable pour les utilisateurs. Selon les experts, la confiance accrue conduit à un taux de rebond plus bas et, par conséquent, à un meilleur classement.

3. De meilleures données

SSL est destiné à protéger les données, mais fournit en même temps des données essentielles à l'optimisation d'un site Web. En effet, lorsqu'un utilisateur bascule d'une page cryptée SSL vers une page non cryptée, le référent est perdu et la visite apparaît comme une page directe dans les outils d'analyse Web, tels que Google Analytics. Le référencement d'une page cryptée sur une autre page cryptée préserve le référent et améliore la qualité des données.

Inconvénients possibles de SSL

1. Baisse des revenus publicitaires

En décembre 2014, Rajiv Pant, CTO du New York Times, a publié dans un article sur son blog intitulé Tous les sites d'informations pour passer à SSL / TLS. Rien n'est arrivé à ce jour, même au New York Times lui-même. Pourquoi?

Probablement parce que les employés des départements marketing des principaux éditeurs prennent au sérieux le numéro de note 10528 de la FAQ Google Adsense. Il avertit que "vous dépensez peut-être moins pour les annonces sur vos pages HTTPS que pour les annonces sur vos pages HTTP".

C’est effectivement le cas – les rapports d’expérience montrent que le revenu par 1 000 impressions de bannière (RPM) après un passage à SSL / TSL diminue de 15 à 35%.

L'explication de ceci est relativement simple: Une page cryptée n’est vraiment sûre pour le navigateur, même si toutes les ressources externes, telles que les bannières publicitaires, sont chargées via des connexions sécurisées. Si ce n'est pas le cas, le navigateur affiche un petit avertissement à la place du verrou vert digne de confiance. Les serveurs AdServers ou les éditeurs qui ne livrent pas encore leur publicité via HTTPS ne peuvent pas participer à la mise aux enchères d'espaces publicitaires sur des sites HTTPS. Moins de soumissionnaires réduisent la pression de la concurrence, ce qui entraîne une baisse du RPM (Revenue Per Mille).

Figure 3: Moins de soumissionnaires garantissent un régime en baisse. (Source: checkdomain.de)

2. Temps de chargement plus lent

Bien que les certificats SSL soient maintenant disponibles gratuitement, la sécurité n'est toujours pas gratuite: le cryptage et le décryptage des données consomment de l'énergie de calcul sur le serveur Web et sur le client. Ce n'est généralement pas un problème avec les serveurs actuels et les périphériques finaux. Mais si quelqu'un exécute son propre serveur plus ancien, cela peut entraîner des problèmes de performances.

Important: La "prise de contact" entre serveur et client prend environ trois fois plus de temps dans le cas d’une connexion cryptée. Cela entraîne un retard dans la mise en page et, surtout, une augmentation du TTFB, ce qui est si important pour Google.

En outre, la mise en cache est également affectée – la mise en cache du fournisseur de services Internet, c'est-à-dire la mise en cache du contenu très fréquemment utilisé par le fournisseur de services Internet, par exemple, est totalement éliminée.

3. Effort technique

La configuration d'un certificat SSL peut désormais être gérée virtuellement par une simple pression sur un bouton, grâce aux offres correspondantes des fournisseurs d'hébergement. Malheureusement, cela ne suffit pas. Entre autres choses, les exploitants de sites Web doivent prendre en charge le référencement pour modifier tous les liens internes vers HTTPS et éviter les doublons grâce à des redirections bien structurées.

SSL et SEO – c'est comme ça que ça marche

Afin de réaliser une conversion conforme au moteur de recherche, les exploitants de site doivent porter une attention particulière à certains points. La console de recherche Google (anciennement Google Webmaster Tools) joue un rôle central. Ici, il est absolument nécessaire de configurer la nouvelle version HTTPS du site Web immédiatement après le basculement.

Passage à HTTPS: les conseils les plus importants

• Toutes les anciennes URL doivent être transmises à la variante HTTPS avec une redirection 301 (cela fonctionne, par exemple, via htaccess)
• Les balises canoniques doivent également être réécrites dans la variante SSL.
• Sauf si des liens relatifs ont été utilisés sur des liens internes, ils doivent également être reconstruits pour éviter les redirections inutiles.
• Le fichier robots.txt doit également être atteint via HTTPS
• Il faut veiller à ce que toutes les procédures internes et externes ressources externes (Photos, scripts, CSS, etc.) via la charge HTTPS – sinon, le navigateur affiche les avertissements dissuasifs de l'utilisateur
• Une nouvelle propriété doit être créée pour la version HTTPS de la page dans la console de recherche Google.
• Le sitemap doit être recréé et soumis à la console de recherche Google.
• Si un fichier de désaveu avait déjà été utilisé dans la console de recherche, il devrait être transféré vers le nouveau compte pour la version HTTPS de la page. Ceci s'applique également à tous les autres paramètres
• HSTS (HTTP Strict Transport Security) devrait être introduit: ce mécanisme de sécurité empêche les connexions HTTPS de déverrouiller le chiffrement de la connexion par des attaques de rétrogradation

Conclusion: SSL paye (presque toujours)

Il existe de nombreux arguments en faveur de la conversion de sites Web en SSL / TLS. Un niveau de confiance plus élevé des utilisateurs dans le site, une chance d'obtenir un meilleur classement et un niveau élevé de sécurité des données sont les arguments les plus solides. Seuls les opérateurs (purement) dotés de pages publicitaires ne bénéficient pas du basculement, du moins à court terme. Dans ces cas, il peut être intéressant d'attendre et de voir ce qui est important, comme les grands portails d'informations. Le cryptage de leurs pages indique que la plupart des serveurs de publicité sont compatibles HTTPS. Un développement dans cette direction est déjà en train d'émerger.