Pourquoi votre site a besoin d’une redirection HTTP→HTTPS
Même avec le HTTPS disponible, votre site doit rediriger activement les requêtes HTTP vers HTTPS. Sinon, les utilisateurs qui atteignent la version HTTP restent sur une connexion non chiffrée et interceptable.
Ce que c’est
Quand quelqu’un tape votredomaine.com sans https://, le navigateur essaie d’abord le HTTP. Si votre serveur répond sur le port 80 avec du contenu au lieu d’une redirection, ce chargement de page n’est pas chiffré.
La solution est une redirection permanente (301) de chaque URL HTTP vers son équivalent HTTPS sur le même domaine.
Pourquoi ça compte
Le trafic non chiffré peut être lu ou modifié par quiconque se trouve sur le chemin réseau — un Wi-Fi public, un routeur compromis, un FAI. Cela inclut les données de formulaire et les cookies sans l’attribut Secure.
Une redirection qui pointe vers le mauvais domaine, ou une chaîne de plusieurs sauts, ajoute de la latence et peut elle-même signaler une mauvaise configuration ou un détournement.
Comment corriger
Répondez sur le port 80 par un unique 301 vers HTTPS.
server {
listen 80;
server_name yourdomain.com;
return 301 https://$host$request_uri;
}Une redirection gère le premier saut ; HSTS indique ensuite au navigateur de sauter entièrement le HTTP lors des visites suivantes. Utilisez les deux ensemble.
Redirigez directement du HTTP vers l’URL HTTPS canonique en un seul saut, plutôt que de rebondir entre les variantes www/non-www et avec/sans barre oblique finale.
FAQ
Un certificat SSL ne suffit-il pas ?
Non. Un certificat active le HTTPS, mais sans redirection les utilisateurs peuvent encore charger la version HTTP. Il vous faut les deux.
Redirection 301 ou 302 ?
Utilisez 301 (permanente). Elle est mise en cache et signale aux navigateurs et aux moteurs de recherche que le HTTPS est la version canonique.
Votre app est-elle concernée ?
AppSafe détecte ce problème et des dizaines d’autres en un seul scan gratuit.
Scanner mon app gratuitementGuides liés
HTTP Strict Transport Security (HSTS) expliqué
Forcez chaque connexion à passer en HTTPS — même la première.
Les attributs de cookies Secure, HttpOnly et SameSite
Trois attributs qui empêchent le vol des cookies de session.
Content-Security-Policy (CSP) : ce que c’est et comment en ajouter une
L’en-tête qui empêche les scripts injectés de s’exécuter.