Redirections HTTP vers HTTPS et analyse de la chaîne de redirection

1. Qu’est-ce que HTTPS et pourquoi c’est important

HTTPS est HTTP au-dessus de TLS (anciennement SSL). Il chiffre la connexion entre le navigateur et votre serveur afin que les mots de passe, cookies de session et données personnelles ne puissent pas être lus ou modifiés en transit.

Pourquoi votre site devrait être uniquement en HTTPS

Servir votre site en HTTPS protège les visiteurs contre l’écoute et l’altération du trafic, renforce la confiance et constitue désormais un signal de classement pour les moteurs de recherche. De nombreuses fonctionnalités modernes du Web, comme HTTP/2 ou les Service Workers, ne sont disponibles que sur des origines sécurisées.

Lien entre HTTPS et les tests DNSprobe

La section SSL de DNSprobe valide votre certificat et sa chaîne, tandis que la section HTTPS se concentre sur la façon dont les utilisateurs sont redirigés de HTTP vers HTTPS et sur le nombre de hops nécessaires pour atteindre l’URL sécurisée.

2. Redirection automatique de HTTP vers HTTPS

Idéalement, toute requête vers http://votredomaine/ devrait rediriger immédiatement vers https://votredomaine/ avec une redirection permanente (301 ou 308).

Pourquoi forcer HTTPS est essentiel

Si HTTP reste accessible sans redirection, certains visiteurs ou anciens liens peuvent continuer à utiliser la version non chiffrée du site. Cela affaiblit la sécurité, peut créer des problèmes de contenu dupliqué pour le SEO et perturber les cookies marqués comme « secure ».

Comment configurer la redirection

Vous pouvez imposer HTTPS au niveau du serveur web via des règles de réécriture, dans votre application ou via votre CDN / reverse proxy. Pour de meilleures performances, la redirection doit être appliquée le plus tôt possible, directement sur le front web ou le load balancer.

Bonnes pratiques pour la redirection HTTP → HTTPS

• Utiliser une redirection permanente (301 ou 308) de HTTP vers HTTPS pour l’hôte canonique.
• Éviter les redirections intermédiaires inutiles, par exemple HTTP sans www → HTTPS sans www → HTTPS avec www, lorsqu’un seul hop suffit.
• Conserver le chemin et la chaîne de requête lors de la redirection (par exemple /page?ref=x doit rester /page?ref=x en HTTPS).

3. Chaîne de redirections et nombre de hops

Lorsque DNSprobe teste votre domaine, il part de http://exemple.com/ et enregistre chaque redirection (code 3xx) jusqu’à la réponse finale ou jusqu’à atteindre une limite de hops.

Qu’est-ce qu’un hop ?

Chaque redirection d’une URL vers une autre compte pour un hop. Par exemple, http://exemple.com/ → https://exemple.com/ correspond à 1 hop ; http://exemple.com/ → http://www.exemple.com/ → https://www.exemple.com/ correspond à 2 hops.

Pourquoi trop de hops posent problème

Chaque hop supplémentaire ajoute au minimum un aller-retour réseau entre le navigateur et votre serveur. Cela augmente le temps de chargement, multiplie les handshakes TLS et peut rendre votre site lent sur mobile ou sur des connexions à forte latence. De longues chaînes de redirections augmentent aussi le risque d’erreurs de configuration, de boucles de redirection, de perte de paramètres de suivi et de problèmes SEO.

Comment DNSprobe interprète la chaîne de redirections

DNSprobe affiche la chaîne complète de redirections dans le rapport, avec le code HTTP et la destination de chaque hop. S’il détecte un hop où le schéma passe de HTTP à HTTPS, le test est marqué comme réussi. Si l’URL finale reste en HTTP ou si aucune redirection n’est observée, DNSprobe vous alerte afin que vous puissiez imposer HTTPS.

4. Scénarios de redirection courants

Voici quelques modèles fréquents que vous pouvez voir dans le rapport HTTPS et ce qu’ils signifient généralement :

• HTTP sans www → HTTPS sans www (1 hop) : configuration la plus simple lorsque votre nom d’hôte canonique est exemple.com.
• HTTP sans www → HTTP avec www → HTTPS avec www (2 hops) : souvent utilisé lorsque www est l’hôte canonique, mais généralement simplifiable.
• HTTP → CDN ou reverse proxy → HTTPS origine : redirection gérée par un CDN comme Cloudflare, qui se connecte ensuite en HTTPS à votre serveur.
• Multiples hops HTTP ou redirections inter-domaines : peuvent indiquer des règles historiques, des load balancers en chaîne ou des erreurs de configuration qui méritent d’être nettoyées.

5. Bonnes pratiques et dépannage

Si DNSprobe indique que votre site reste en HTTP ou utilise trop de hops, utilisez la liste suivante pour améliorer votre configuration.

Recommandations côté serveur

• Configurer une seule règle claire de redirection de HTTP vers l’hôte HTTPS canonique, idéalement au premier point d’entrée (front web ou CDN).
• Supprimer les anciennes règles de réécriture ou les règles qui se chevauchent dans .htaccess, nginx.conf, les vhosts ou les frameworks applicatifs.
• Vérifier que le certificat SSL de l’hôte HTTPS final est valide et correspond bien au domaine, afin d’éviter les avertissements de sécurité dans les navigateurs.

Conseils de dépannage

• Utiliser des outils comme curl, l’onglet Réseau du navigateur ou le rapport HTTPS de DNSprobe pour inspecter chaque hop et son code HTTP.
• Surveiller les boucles de redirection (par exemple HTTP → HTTPS → HTTP) et les incohérences de nom d’hôte (mélange de www et non-www).
• En présence d’un CDN ou d’un reverse proxy, s’assurer que le proxy et le serveur d’origine s’accordent sur l’URL HTTPS finale afin d’éviter les doubles redirections.

6. Tester les redirections HTTP→HTTPS manuellement depuis votre propre terminal

La section HTTPS de DNSprobe vérifie si votre site redirige correctement le trafic HTTP vers HTTPS et compte le nombre de sauts dans la chaîne de redirection. Vous pouvez reproduire ce comportement depuis un terminal en utilisant curl pour inspecter les en-têtes de réponse HTTP et suivre les redirections.

Linux : utiliser curl pour inspecter la chaîne de redirection

Sur la plupart des distributions Linux, curl est installé ou disponible dans les dépôts par défaut. Les commandes suivantes montrent d’abord comment le serveur répond à une requête HTTP directe, puis comment se comporte la chaîne de redirection complète lorsque vous autorisez curl à suivre les redirections :

                curl -I http://example.com/
    
                # Première requête : vérifier si HTTP (port 80) renvoie un statut de redirection comme 301/302 pointant vers HTTPS    
                curl -I -L http://example.com/
        

macOS : utiliser curl avec les outils intégrés

macOS inclut curl dans ses outils en ligne de commande. Ouvrez Terminal et exécutez les mêmes commandes que sous Linux pour voir si votre site effectue une redirection HTTP→HTTPS et combien de sauts sont nécessaires :

                curl -I http://example.com/
    
                # Première requête : vérifier si HTTP (port 80) renvoie un statut de redirection comme 301/302 pointant vers HTTPS    
                curl -I -L http://example.com/
        

Windows : utiliser curl depuis l’Invite de commandes ou PowerShell

Sur les versions récentes de Windows 10 et 11, curl est inclus par défaut. Depuis une fenêtre Invite de commandes ou PowerShell, vous pouvez utiliser curl exactement comme sous Linux/macOS pour vérifier que HTTP redirige vers HTTPS et pour inspecter la chaîne de redirection :

                curl -I http://example.com/
    
                REM Première requête : vérifier si HTTP (port 80) renvoie un statut de redirection comme 301/302 pointant vers HTTPS    
                curl -I -L http://example.com/
        

Important : ne testez que des hôtes et domaines que vous possédez ou que vous êtes autorisé à analyser. Des vérifications HTTP/HTTPS automatisées et répétées sur des systèmes tiers sans autorisation peuvent être considérées comme un comportement abusif par certains fournisseurs.