Certificat HTTPS : fonctionnement et dépannage

Hébergement Web · 4 min de lecture · Mis à jour le 16 octobre 2026

Le HTTPS chiffre les échanges entre le visiteur et votre site et prouve que le site est bien celui qu'il prétend être. Sans lui, les navigateurs affichent « Non sécurisé » et les formulaires deviennent suspects. Chez HebergHub, le certificat est émis et renouvelé automatiquement, sans frais, sur tous les services qui publient un site. Ce guide explique ce qui se passe selon le service, et quoi faire quand le certificat n'arrive pas.

Selon votre service

Service	Adresse	Certificat
Hébergement web	sous-domaine `.web.heberghub.fr` ou votre domaine	émis automatiquement par le panneau dès que le domaine pointe vers HebergHub
VPS	`nom.vps.heberghub.fr`	déjà en place, géré par le point d'entrée
VPS	votre domaine	émis automatiquement après vérification du domaine dans l'espace client
Hébergement applicatif	`nom.apps.heberghub.fr`	automatique

Les certificats sont délivrés par Let's Encrypt, une autorité de certification gratuite reconnue par tous les navigateurs. Ils durent 90 jours et sont renouvelés automatiquement avant l'expiration : vous n'avez rien à faire.

Hébergement web

Reliez votre domaine (voir Relier un nom de domaine).
Dès que le domaine pointe vers HebergHub, le certificat est demandé automatiquement. L'autorité de certification vérifie que le domaine mène bien à notre serveur : tant que le DNS ne pointe pas chez nous, l'émission ne peut pas aboutir.

Pour un CMS, mettez aussi l'adresse du site en https:// dans ses réglages (WordPress : Réglages, Général).

VPS

Sur nom.vps.heberghub.fr

Le certificat est géré avant votre VPS, par le point d'entrée : le visiteur arrive en HTTPS, votre VPS reçoit la requête en HTTP sur son port 80. Conséquences :

n'installez pas de certificat (certbot ou autre) pour nom.vps.heberghub.fr dans le VPS : il ne servirait pas ;
ne mettez pas de redirection HTTP vers HTTPS dans le VPS lui-même : il ne reçoit que du HTTP, il redirigerait à l'infini.

Sur votre propre domaine

Après la vérification du domaine dans l'espace client (enregistrement TXT), le certificat est émis automatiquement par le point d'entrée. Son état (en attente, actif, erreur) est affiché dans l'espace client ; les demandes en attente sont retentées automatiquement. Le VPS reçoit ce trafic en HTTP sur le port 80, comme ci-dessus.

Hébergement applicatif

L'application est publiée en HTTPS sur nom.apps.heberghub.fr dès son premier déploiement. Votre application écoute en HTTP sur son port ; le chiffrement est géré en amont.

Le certificat n'arrive pas

Dans l'ordre :

Le domaine pointe-t-il vers HebergHub ? dig +short votredomaine.fr A doit donner l'adresse indiquée par HebergHub.
Un enregistrement AAAA traîne-t-il ? dig +short votredomaine.fr AAAA doit être vide : un AAAA vers l'ancien hébergeur fait échouer la vérification.
Le www est-il aussi configuré ? Le certificat couvre souvent votredomaine.fr et www.votredomaine.fr : si l'un des deux ne pointe pas chez nous, la demande peut échouer.
Un enregistrement CAA restreint-il les autorités ? dig +short votredomaine.fr CAA. Vide : aucune restriction. S'il existe, il doit autoriser letsencrypt.org.
Le DNS passe-t-il par un proxy ? Mettez les enregistrements en mode « DNS seulement ».
La propagation est-elle terminée ? Attendez quelques heures après un changement, puis relancez la demande.

Let's Encrypt limite le nombre de tentatives ratées : ne relancez pas la demande en boucle, corrigez d'abord la cause.

Le cadenas est barré : le contenu mixte

Une page en HTTPS qui charge une image, un script ou une police en http:// déclenche un avertissement « contenu mixte ». Le certificat est bon, c'est la page qui est en cause.

Ouvrez les outils de développement du navigateur (F12), onglet Console : les ressources fautives y sont listées.
Remplacez http:// par https:// dans les adresses concernées (contenu, thème, configuration).
Pour WordPress, un remplacement des anciennes adresses dans la base, par une extension dédiée, corrige les contenus déjà publiés.

Aller plus loin : HSTS

L'en-tête Strict-Transport-Security (HSTS) demande au navigateur de n'utiliser que le HTTPS pour votre domaine pendant une durée donnée. C'est une bonne protection, mais elle ne se défait pas facilement : activez-la seulement quand tout votre site, sous-domaines compris, fonctionne en HTTPS, et commencez par une durée courte.

Besoin d'aide ?

Ouvrez un ticket depuis votre espace client avec le domaine, le service concerné et le résultat de dig +short votredomaine.fr A et AAAA.